सुरक्षा सप्ताह 18: iOS के लिए टेक्स्ट बम

यदि विभिन्न प्रकार की कमजोरियों से सर्वश्रेष्ठ हिट का एक काल्पनिक संग्रह एकत्र किया जाता है, तो विभिन्न प्रकार के इनपुट प्रसंस्करण त्रुटियां वहां सर्वश्रेष्ठ स्थानों को ले जाएंगी। किसी प्रोग्राम या संपूर्ण सिस्टम को अक्षम करने के सबसे पुराने तरीकों में से एक ज़िप बम है - एक छोटा सा संग्रह जिसे तैनात किया जाता है, जो कि समय युग के आधार पर सैकड़ों मेगाबाइट, गीगाबाइट या डेटा के पेटाबाइट्स में होता है। लेकिन फिर संग्रह, इसे अभी भी डाउनलोड करने और अनपैक करने का प्रयास करना होगा। टेक्स्ट बम बहुत अधिक दिलचस्प हैं - ऐसे संदेश जिनके प्रारूप में प्रोग्राम को क्रैश या पूरे सिस्टम को क्रैश करने का कारण बनता है। तत्काल दूतों और मोबाइल उपकरणों की दुनिया में, यह विशेष रूप से सच है।

पिछले सप्ताह, Apple मोबाइल उपकरणों ( समाचार ) के लिए iOS ऑपरेटिंग सिस्टम में मोबाइल उपकरणों के लिए एकल-संदेश निलंबन तंत्र की खोज की गई थी । iOS गलत तरीके से सिंधी भाषा के कम से कम एक चरित्र को संसाधित करता है , पाकिस्तान में आधिकारिक भाषाओं में से एक, यूनिकोड मानक में शामिल है। फोन या टैबलेट पर इस तरह के प्रतीक को प्रदर्शित करते समय, अलग-अलग डिग्री की कठिनाई उत्पन्न होती है, सबसे खराब स्थिति में, डिवाइस को रिबूट करने की आवश्यकता होती है। सोशल नेटवर्क के क्लाइंट में या मैसेंजर में एक मुश्किल प्रतीक वाला संदेश स्क्रीन पर प्रदर्शित होना चाहिए, लेकिन नोटिफिकेशन प्रदर्शित होने पर विफलता भी होती है, यदि संदेश पूर्वावलोकन सक्षम है। दूसरे शब्दों में, रिबूट के बाद, आप सॉफ़्टवेयर के पतन या पूरे सिस्टम में फिर से दौड़ सकते हैं यदि कोई व्यक्ति आपको पूरी तरह से नियंत्रित करने का निर्णय लेता है।

टेक्स्ट बम का खोजकर्ता अज्ञात है। Reddit पर, जेलब्रेक iPhones के प्रेमियों के समुदाय में, उन्होंने पिछले हफ्ते वितरित किए गए ट्विटर संदेशों (जैसा कि डाइजेस्ट की शुरुआत में स्क्रीनशॉट में) का जिक्र करते हुए इस परिहास से एक घर का बना पैच पोस्ट किया , जो किसी कारण से सिंधी भाषा से प्रतीक के लिए इतालवी ध्वज को शामिल किया गया था। बग बग के संचालन में भाग नहीं लेता है। बड़े पैमाने पर ट्रोलिंग से बचने के लिए, इस समुदाय में एक ला प्रकृति के पात्रों का प्रकाशन सख्त वर्जित था। आप में एक चरित्र कोड में झांक सकते कर सकते हैं कोड"हैक" iPhones के लिए पैच। हम इसे यहीं प्रकाशित नहीं करेंगे और हम आपको सलाह नहीं देते हैं। हास्यास्पद नहीं। यह एक बग है, लेकिन एक भेद्यता नहीं है: सॉफ़्टवेयर क्रैश से कोड निष्पादन नहीं होता है, कम से कम ऐसे संदेश नहीं थे। IOS के वर्तमान बीटा संस्करण में, समस्या हल हो गई है, लेकिन सामाजिक नेटवर्क और तत्काल दूतों में अपडेट की आधिकारिक रिलीज से पहले, रहस्योद्घाटन का एक मंत्र होने की संभावना है।

IOS 13.4.5 के बीटा संस्करण ने मेल क्लाइंट Apple मेल ( समाचार ) में दो बग भी बंद कर दिए । ZecOps टीम के अनुसार , दोनों भेद्यताएं तैयार संदेश खोलते समय मेल क्लाइंट से डेटा रिसाव की ओर ले जाती हैं। ZecOps का दावा है कि iOS 6 का पुराना संस्करण भी अतिसंवेदनशील है और 2018 के बाद से, अनाम हमलावरों द्वारा "खेतों में" कमजोरियों का शोषण किया गया है। हालाँकि, Apple का मानना ​​है कि कोई सक्रिय हमला नहीं हुआ था ।: "उपयोगकर्ताओं के लिए तत्काल कोई खतरा नहीं है।"

यदि आईओएस में टेक्स्ट बम केवल कष्टप्रद है, तो एक दुर्भावनापूर्ण GIF के बारे में क्या है जो आपको माइक्रोसॉफ्ट टी सर्विस में अपने खाते तक पहुंच की चोरी करने की अनुमति देता है? CyberArk ने इस भेद्यता की खोज की ( समाचार , अध्ययन) शोधकर्ताओं ने इमेज प्रोसेसर में कमजोर स्थान नहीं पाया, लेकिन एक ऐसे तंत्र में जो आपको ट्रैक करने की अनुमति देता है कि सहयोग के लिए इस प्लेटफॉर्म में क्या साझा किया। चूंकि Microsoft टीम उपयोगकर्ता सेवा कंप्यूटर पर क्लाउड सेवा, निजी कॉर्पोरेट सर्वर और सॉफ़्टवेयर को एकीकृत कर सकती है, इसलिए ग्राहक की पहचान करने वाले टोकन के हस्तांतरण के साथ छवि रोपण की एक जटिल प्रणाली की आवश्यकता थी। Microsoft वेबसाइट पर इस दो उप-डोमेन में जोड़ें, ट्रैफ़िक को उप-डोमेन अधिग्रहण प्रक्रिया का उपयोग करके सैद्धांतिक रूप से हमलावर पर स्विच किया जा सकता है, और हमें निम्नलिखित परिदृश्य मिलता है। आप उपयोगकर्ता के लिए तैयार GIF भेजते हैं। चित्र को * .microsoft.com उपडोमेन पर उपयोगकर्ता टोकन के हस्तांतरण के साथ सेवा में पंजीकृत किया गया है। हमलावर इस सबडोमेन पर ट्रैफ़िक को खुद पर पुनर्निर्देशित करता है और एक टोकन प्राप्त करता है। प्राधिकरण कुंजियों का उपयोग करके, आप पहले से ही प्रभावित उपयोगकर्ता की ओर से क्लाउड सेवा एपीआई तक पहुंच सकते हैं और कंपनी की आंतरिक संरचना के बारे में विभिन्न निजी जानकारी प्राप्त कर सकते हैं।

और क्या हुआ?

निनटेंडो ने नेटवर्क नेटवर्क आईडी के माध्यम से 160,000 अकाउंट हैक करने की पुष्टि की । यह एक विरासत-प्रणाली है, जिसका उपयोग, विशेष रूप से, निंटेंडो 3DS और Wii U कंसोल में खातों के लिए किया जाता है। लेकिन इस पुराने खाते के माध्यम से आप कंपनी की आधुनिक नेटवर्क सेवा, सर्विसिंग में भी प्राप्त कर सकते हैं, उदाहरण के लिए, Nintendo स्विच। एनएनआईडी हैक करने से उपयोगकर्ता खातों से आभासी धन की चोरी पहले ही हो चुकी है।

टीम किले 2 और सीएस के लिए स्रोत कोड: जीओ मल्टीप्लेयर गेम लीक हो गए हैं । स्रोत कोड, आमतौर पर निजी रूप से वितरित किए जाते हैं और केवल डेवलपर के भागीदारों के बीच, वाल्व सॉफ्टवेयर, सार्वजनिक रूप से उपलब्ध थे। वाल्व के अनुसार, यह 2018 में नेटवर्क में पहले से मौजूद स्रोतों का "पुनः लोड" है, इसलिए आपको गेमर्स पर हमला करने के लिए नए कारनामों के उभरने की उम्मीद नहीं करनी चाहिए।

पिछले हफ्ते लीक पर काफी चर्चा हुई थी25,000 ईमेल पतों और पासवर्डों का एक डेटाबेस, जिसे कथित रूप से विश्व स्वास्थ्य संगठन, बिल एंड मेलिंडा गेट्स फाउंडेशन और वुहान इंस्टीट्यूट ऑफ वायरोलॉजी के कर्मचारियों द्वारा स्वामित्व में लिया गया था। सबसे अधिक संभावना है, यह नेटवर्क सेवाओं से पहले के लीक के एक विशाल डेटाबेस से एक नमूना है, जिसे किसी ने दिन के लिए बनाया था। इस बीच, Google खतरा विश्लेषण समूह (और अन्य कंपनियों) के अनुसार, विभिन्न देशों में सरकारी एजेंसियों पर फ़िशिंग हमलों में COVID-19 विषय का सक्रिय रूप से उपयोग किया जाता है। स्काइप मैसेंजर के लिए प्रशंसनीय पासवर्ड का

दिलचस्प उदाहरण खोजा गया था।

पालो ऑल्टो नेटवर्क्स ने कमजोर ज़ेक्सेल एनएएस उपकरणों पर लक्षित एक बोटनेट की जांच की । और ईएसईटी में विश्लेषण कियातीन अलग-अलग निर्माताओं के स्मार्ट घर के लिए हब में कमजोरियां। बुरी खबर: पूरे घर IoT बुनियादी ढांचे पर दूर से अवरोधन नियंत्रण की संभावना है। अच्छी खबर यह है कि जांच की गई कमजोरियों को निर्माताओं ने पहले ही बंद कर दिया है, उनमें से कुछ बहुत पहले। बुरी खबर यह है कि सभी हब मालिक समय पर अपडेट नहीं देते हैं।