মাইক্রোসফ্ট ইন্টারনেট এক্সপ্লোরারে শূন্য-দিনের দুর্বলতা ঠিক করতে অস্বীকার করেছে

শুক্রবার, এপ্রিল 12, তথ্য নিরাপত্তা বিশেষজ্ঞ জন পেজ ইন্টারনেট এক্সপ্লোরারের বর্তমান সংস্করণে একটি অপ্রস্তুত দুর্বলতা সম্পর্কে তথ্য প্রকাশ করেছেন এবং এটির বাস্তবায়নও দেখিয়েছেন। দুর্বলতা সম্ভাব্যভাবে একজন আক্রমণকারীকে ব্রাউজার নিরাপত্তা বাইপাস করে Windows ব্যবহারকারীদের স্থানীয় ফাইলের বিষয়বস্তু পেতে অনুমতি দিতে পারে।

ইন্টারনেট এক্সপ্লোরার যেভাবে এমএইচটিএমএল ফাইলগুলি পরিচালনা করে, সাধারণত .mht বা .mhtml এক্সটেনশনের সাথে সেভাবে দুর্বলতা রয়েছে৷ এই বিন্যাসটি ইন্টারনেট এক্সপ্লোরার দ্বারা ডিফল্টভাবে ওয়েব পৃষ্ঠাগুলি সংরক্ষণ করার জন্য ব্যবহৃত হয় এবং আপনাকে একটি একক ফাইল হিসাবে সমস্ত মিডিয়া সামগ্রী সহ পৃষ্ঠার সম্পূর্ণ সামগ্রী সংরক্ষণ করতে দেয়৷ এই মুহুর্তে, বেশিরভাগ আধুনিক ব্রাউজার আর MHT ফর্ম্যাটে ওয়েব পৃষ্ঠাগুলি সংরক্ষণ করে না এবং এর জন্য স্ট্যান্ডার্ড WEB ফর্ম্যাট ব্যবহার করে - HTML, যাইহোক, তারা এখনও এই ফর্ম্যাটে ফাইলগুলি প্রক্রিয়াকরণ সমর্থন করে এবং উপযুক্ত সেটিংসের সাথে সংরক্ষণ করতেও এটি ব্যবহার করতে পারে বা এক্সটেনশন ব্যবহার করে।

জন দ্বারা আবিষ্কৃত দুর্বলতা XXE (এক্সএমএল এক্সটার্নাল এন্টিটি) দুর্বলতার শ্রেণীর অন্তর্গত এবং এটি ইন্টারনেট এক্সপ্লোরারে XML কোড হ্যান্ডলারের একটি ভুল কনফিগারেশনে গঠিত। "এই দুর্বলতা একজন দূরবর্তী আক্রমণকারীকে ব্যবহারকারীর স্থানীয় ফাইলগুলিতে অ্যাক্সেস পেতে এবং উদাহরণস্বরূপ, সিস্টেমে ইনস্টল করা সফ্টওয়্যারটির সংস্করণ সম্পর্কে তথ্য বের করার অনুমতি দেয়," পেজ বলে৷ "সুতরাং 'c:Python27NEWS.txt'-এর জন্য একটি ক্যোয়ারী এই প্রোগ্রামটির সংস্করণ ফিরিয়ে দেবে (এই ক্ষেত্রে পাইথন ইন্টারপ্রেটার)।"

যেহেতু Windows-এ সমস্ত MHT ফাইল ডিফল্টরূপে Internet Explorer-এ খোলা থাকে, তাই এই দুর্বলতাকে কাজে লাগানো একটি তুচ্ছ কাজ, যেহেতু ব্যবহারকারীকে শুধুমাত্র ইমেল, সামাজিক নেটওয়ার্ক বা ইনস্ট্যান্ট মেসেঞ্জারগুলির মাধ্যমে প্রাপ্ত একটি বিপজ্জনক ফাইলে ডাবল ক্লিক করতে হবে৷

"সাধারণত, Microsoft.XMLHTTP-এর মতো একটি ActiveX অবজেক্ট চালু করার সময়, ব্যবহারকারী ইন্টারনেট এক্সপ্লোরারে একটি নিরাপত্তা সতর্কতা পাবেন যা ব্লক করা সামগ্রী সক্রিয় করার জন্য নিশ্চিতকরণের জন্য জিজ্ঞাসা করবে," গবেষক ব্যাখ্যা করেন৷ “তবে, বিশেষভাবে ডিজাইন করা মার্কআপ ট্যাগ ব্যবহার করে একটি পূর্ব-প্রস্তুত .mht ফাইল খোলার সময় সম্ভাব্য বিপজ্জনক বিষয়বস্তু সম্পর্কে ব্যবহারকারীকে সতর্ক করা হবে না।"

পেজ বলেছেন যে তিনি Windows 11, Windows 7, এবং Windows Server 10 R2012-এ সমস্ত সাম্প্রতিক সুরক্ষা আপডেট সহ ইন্টারনেট এক্সপ্লোরার 2-এর বর্তমান সংস্করণে দুর্বলতা সফলভাবে পরীক্ষা করেছেন।

সম্ভবত এই দুর্বলতাকে সর্বজনীন করার একমাত্র সুসংবাদ হল যে ইন্টারনেট এক্সপ্লোরারের একসময়ের প্রভাবশালী মার্কেট শেয়ার এখন মাত্র 7,34% কমে গেছে, NetMarketShare অনুসারে। কিন্তু যেহেতু Windows MHT ফাইলগুলি খুলতে তার ডিফল্ট অ্যাপ্লিকেশন হিসাবে ইন্টারনেট এক্সপ্লোরার ব্যবহার করে, ব্যবহারকারীদের তাদের ডিফল্ট ব্রাউজার হিসাবে IE সেট করতে হবে না এবং যতক্ষণ না IE এখনও তাদের সিস্টেমে উপস্থিত থাকে এবং তারা সেদিকে মনোযোগ না দেয় ততক্ষণ পর্যন্ত দুর্বল থাকে। ডাউনলোড করা ফাইলের বিন্যাস। অনলাইন ফাইল।

27 শে মার্চ, জন তাদের ব্রাউজারে এই দুর্বলতা সম্পর্কে মাইক্রোসফ্টকে অবহিত করেছিলেন, কিন্তু 10 এপ্রিল, গবেষক কোম্পানির কাছ থেকে একটি প্রতিক্রিয়া পেয়েছিলেন, যেখানে তিনি ইঙ্গিত দিয়েছিলেন যে তিনি এই সমস্যাটিকে সমালোচনামূলক মনে করেন না।

মাইক্রোসফ্ট চিঠিতে বলেছে, "শুধুমাত্র পণ্যটির পরবর্তী সংস্করণের সাথে মুক্তি দেওয়া হবে।" "আমরা এই মুহুর্তে এই সমস্যার সমাধান করার পরিকল্পনা করছি না।"

মাইক্রোসফ্ট থেকে একটি দ্ব্যর্থহীন প্রতিক্রিয়ার পরে, গবেষক তার ওয়েবসাইটে শূন্য-দিনের দুর্বলতা, সেইসাথে ডেমো কোড এবং একটি ইউটিউব ভিডিও সম্পর্কে বিশদ পোস্ট করেছেন।

যদিও দুর্বলতাটি বাস্তবায়িত করার মতো সহজ নয় এবং ব্যবহারকারীকে কোনোভাবে একটি অজানা MHT ফাইল চালাতে বাধ্য করতে হবে, মাইক্রোসফ্টের প্রতিক্রিয়া না থাকা সত্ত্বেও এই দুর্বলতাটিকে হালকাভাবে নেওয়া উচিত নয়। হ্যাকার গ্যাংগুলি অতীতে ফিশিং এবং ম্যালওয়্যারের জন্য MHT ফাইলগুলি ব্যবহার করেছে এবং এখন এটি করা থেকে তাদের বাধা দেওয়ার কিছু নেই৷ 

যাইহোক, এটি এবং অনেক অনুরূপ দুর্বলতা এড়াতে, আপনি ইন্টারনেট থেকে প্রাপ্ত ফাইলগুলির এক্সটেনশনের দিকে মনোযোগ দিতে এবং একটি অ্যান্টিভাইরাস দিয়ে বা ভাইরাসটোটাল ওয়েবসাইটে সেগুলি পরীক্ষা করাই যথেষ্ট। এবং অতিরিক্ত নিরাপত্তার জন্য, আপনার .mht বা .mhtml ফাইলগুলির জন্য আপনার প্রিয় নন-ইন্টারনেট এক্সপ্লোরার ব্রাউজারটিকে ডিফল্ট অ্যাপ্লিকেশন হিসাবে সেট করুন৷ উদাহরণস্বরূপ, উইন্ডোজ 10-এ, "ফাইলের প্রকারের জন্য আদর্শ অ্যাপ্লিকেশন নির্বাচন করুন" মেনুতে এটি বেশ সহজে করা হয়।

উত্স: 3dnews.ru