क्रोम भेद्यता व्यापक डेटा चोरी का कारण बन सकती है

13


पर शोधकर्ता इंपर्वा Google की संभावित खतरनाक भेद्यता को उजागर करने और ठीक करने में अपना हाथ दिखाया है क्रोम और क्रोमियम-आधारित ब्राउज़र कि, अनुपचारित छोड़ दिया, वेब ब्राउज़िंग तकनीक के दुनिया भर में 2.5 बिलियन से अधिक उपयोगकर्ताओं से संवेदनशील फ़ाइलों को चोरी करने के लिए खतरे के अभिनेताओं को सक्षम कर सकता था।

CVE-2022-3656 के रूप में ट्रैक की गई भेद्यता को पहली बार 2022 में इम्पर्वा की रेड टीम द्वारा उजागर किया गया था, जो यह देख रही थी कि ब्राउज़र फ़ाइल सिस्टम के साथ कैसे इंटरैक्ट करता है, विशेष रूप से ब्राउज़र कैसे प्रतीकात्मक लिंक को संसाधित करते हैं – जिसे सिमलिंक के रूप में भी जाना जाता है।

सिमलिंक वे फाइलें हैं जो किसी अन्य फ़ाइल या निर्देशिका की ओर इशारा करती हैं, जो ऑपरेटिंग सिस्टम को लिंक की गई फ़ाइल को इस तरह व्यवहार करने में सक्षम बनाती हैं जैसे कि वह सिमलिंक के स्थान पर मौजूद हों। इंपर्वा के रॉन मासस, जिन्हें बग की खोज का श्रेय दिया जाता है, ने बताया कि उनका उपयोग शॉर्टकट बनाने, फ़ाइल पथों को पुनर्निर्देशित करने या फ़ाइलों को बेहतर ढंग से व्यवस्थित करने के लिए किया जाता है।

“जिस भेद्यता के मामले में हमने Google को खुलासा किया, समस्या उस तरह से उत्पन्न हुई जिस तरह से फ़ाइलों और निर्देशिकाओं को संसाधित करते समय ब्राउज़र ने सिमलिंक के साथ बातचीत की,” मासास को अपने लेखन में समझाया.

“विशेष रूप से, ब्राउज़र ने ठीक से जांच नहीं की कि क्या सिमलिंक किसी ऐसे स्थान की ओर इशारा कर रहा है जो सुलभ होने का इरादा नहीं था, जो संवेदनशील फ़ाइलों की चोरी की अनुमति देता है। इस मुद्दे को आमतौर पर प्रतीकात्मक कड़ी के रूप में जाना जाता है।”

CVE-2022-3656 का शोषण करने वाले एक संभावित हमले के परिदृश्य में, एक हमलावर क्रिप्टो वॉलेट सेवा की पेशकश करने के लिए एक नकली वेबसाइट बना सकता है, जो उपयोगकर्ता को जिप फाइल के रूप में कथित रिकवरी कुंजियों को डाउनलोड करके एक नया वॉलेट बनाने के लिए बरगलाता है, जिसमें वास्तव में निहित होता है। उपयोगकर्ता के कंप्यूटर पर किसी संवेदनशील फ़ाइल या फ़ोल्डर के लिए एक सिमलिंक, जैसे कि क्लाउड सेवा क्रेडेंशियल।

यदि फ़ाइल को अनज़िप किया गया था और दुर्भावनापूर्ण पुनर्प्राप्ति कुंजियाँ वेबसाइट पर वापस अपलोड की गई थीं, तो सिमलिंक संसाधित हो जाएगा और हमलावर संवेदनशील फ़ाइल तक पहुँच प्राप्त कर लेगा।

ऐसे परिदृश्य में, पीड़ित को यह भी पता नहीं चल सकता है कि उनके साथ छल किया गया है, क्योंकि कई क्रिप्टो वॉलेट या अन्य ऑनलाइन सेवाओं के लिए अपने उपयोगकर्ताओं को बैकअप के रूप में सेवा करने के लिए पुनर्प्राप्ति कुंजी डाउनलोड करने की आवश्यकता होती है, अगर वे अपने खाते तक पहुंच खो देते हैं, शायद इसलिए कि वे भूल गए थे उनका पासवर्ड।

मासा एक प्रूफ-ऑफ-कॉन्सेप्ट अटैक बनाने में सक्षम था ब्राउज़र में फ़ाइल इनपुट तत्व में हेरफेर करने के लिए CSS का उपयोग करना। जब फ़ाइल इनपुट तत्व को बड़ा किया गया था, तो वह यह सुनिश्चित करने में सक्षम था कि पृष्ठ पर छोड़ी गई कोई भी फ़ाइल अपलोड की जाएगी, जो बदले में उसे फ़ाइलों को एक्सफ़िल्ट्रेट करने के लिए सिमलिंक भेद्यता का फायदा उठाने देती है।

उन्होंने कहा कि साइबर अपराधी तेजी से क्रिप्टोकरंसी रखने वाले लोगों को निशाना बना रहे हैं, सॉफ्टवेयर कमजोरियों का फायदा उठाकर उनके वॉलेट तक पहुंच सकते हैं और फंड चुरा सकते हैं, इसलिए यदि क्रोम या क्रोमियम-आधारित ब्राउज़र का उपयोग कर रहे हैं – जैसे माइक्रोसॉफ्ट एज – फ़ाइलों को डाउनलोड करते समय उन्हें अद्यतित रखना और अधिक सावधानी बरतना महत्वपूर्ण है। उपयोगकर्ता क्रिप्टो संपत्ति को स्टोर करने के लिए हार्डवेयर वॉलेट का उपयोग करने और पासवर्ड मैनेजर या मल्टीफैक्टर ऑथेंटिकेशन (एमएफए) के साथ अपने क्रेडेंशियल्स की सुरक्षा में सुधार करने पर विचार कर सकते हैं।

मासास ने Google को सिमलिंक भेद्यता की सूचना दी, जिसने एक सुधार जारी किया 25 अक्टूबर 2022 को क्रोम 107 अपडेट में. हालाँकि, जब मास और उनकी टीम ने इसका परीक्षण किया, तो उन्होंने पाया कि इस मुद्दे को पूरी तरह से संबोधित नहीं किया गया था। इसे अब क्रोम 108 अपडेट में पूरी तरह से हल कर दिया गया है, जो 29 नवंबर को रिलीज हुई थी (ध्यान दें कि यह अतिरिक्त फिक्स है नहीं Google के आधिकारिक रिलीज़ अपडेट में खुलासा)।

“हम इस मुद्दे पर उनकी प्रतिक्रिया और इसे संबोधित करने में उनके सहयोग के लिए Google को धन्यवाद देना चाहते हैं,” मासास ने कहा।

“Google टीम के साथ काम करना और Chrome को सभी उपयोगकर्ताओं के लिए सुरक्षित और अधिक सुरक्षित ब्राउज़र बनाने में मदद करना मेरे लिए सौभाग्य की बात थी। हम कमजोरियों की पहचान करने और प्रकट करने की अपनी क्षमता पर गर्व करते हैं, और हम यह सुनिश्चित करने के लिए सॉफ्टवेयर विक्रेताओं के साथ काम करने के लिए प्रतिबद्ध हैं कि जिन उत्पादों पर हम सभी भरोसा करते हैं वे यथासंभव सुरक्षित हैं।



Supply hyperlink