માઇક્રોસોફ્ટે ઇન્ટરનેટ એક્સપ્લોરરમાં શૂન્ય-દિવસની નબળાઈને ઠીક કરવાનો ઇનકાર કર્યો

શુક્રવાર, 12 એપ્રિલના રોજ, માહિતી સુરક્ષા નિષ્ણાત જ્હોન પેજે ઇન્ટરનેટ એક્સપ્લોરરના વર્તમાન સંસ્કરણમાં અસુધારિત નબળાઈ વિશે માહિતી પ્રકાશિત કરી, અને તેના અમલીકરણનું નિદર્શન પણ કર્યું. આ નબળાઈ સંભવિતપણે હુમલાખોરને બ્રાઉઝર સુરક્ષાને બાયપાસ કરીને, Windows વપરાશકર્તાઓની સ્થાનિક ફાઇલોની સામગ્રી મેળવવાની મંજૂરી આપી શકે છે.

ઈન્ટરનેટ એક્સપ્લોરર જે રીતે MHTML ફાઈલોને હેન્ડલ કરે છે તેમાં નબળાઈ રહેલી છે, ખાસ કરીને .mht અથવા .mhtml એક્સટેન્શન ધરાવતી. આ ફોર્મેટનો ઉપયોગ ઇન્ટરનેટ એક્સપ્લોરર દ્વારા મૂળભૂત રીતે વેબ પૃષ્ઠોને સાચવવા માટે થાય છે, અને તમને પૃષ્ઠની સમગ્ર સામગ્રી સાથે તમામ મીડિયા સામગ્રીને એક ફાઇલ તરીકે સાચવવાની મંજૂરી આપે છે. આ ક્ષણે, મોટાભાગના આધુનિક બ્રાઉઝર્સ હવે MHT ફોર્મેટમાં વેબ પૃષ્ઠોને સાચવતા નથી અને પ્રમાણભૂત WEB ફોર્મેટ - HTML નો ઉપયોગ કરતા નથી, પરંતુ તેઓ હજી પણ આ ફોર્મેટમાં ફાઇલોની પ્રક્રિયાને સમર્થન આપે છે, અને તેનો ઉપયોગ યોગ્ય સેટિંગ્સ સાથે સાચવવા અથવા એક્સ્ટેંશનનો ઉપયોગ કરવા માટે પણ કરી શકે છે.

જ્હોન દ્વારા શોધાયેલ નબળાઈ XXE (XML બાહ્ય એન્ટિટી) વર્ગની નબળાઈઓની છે અને તેમાં ઈન્ટરનેટ એક્સપ્લોરરમાં XML કોડ હેન્ડલરની ખોટી ગોઠવણીનો સમાવેશ થાય છે. પેજ કહે છે, "આ નબળાઈ દૂરસ્થ હુમલાખોરને વપરાશકર્તાની સ્થાનિક ફાઇલોની ઍક્સેસ મેળવવા અને, ઉદાહરણ તરીકે, સિસ્ટમ પર ઇન્સ્ટોલ કરેલ સૉફ્ટવેરના સંસ્કરણ વિશેની માહિતી મેળવવાની મંજૂરી આપે છે." "તેથી 'c:Python27NEWS.txt' માટેની ક્વેરી તે પ્રોગ્રામની આવૃત્તિ પરત કરશે (આ કિસ્સામાં પાયથોન દુભાષિયા)."

વિન્ડોઝમાં તમામ MHT ફાઈલો મૂળભૂત રીતે ઈન્ટરનેટ એક્સ્પ્લોરરમાં ખુલે છે, આ નબળાઈનો ઉપયોગ કરવો એ એક નાનકડું કાર્ય છે કારણ કે વપરાશકર્તાને માત્ર ઈમેલ, સોશિયલ નેટવર્ક અથવા ઈન્સ્ટન્ટ મેસેન્જર્સ દ્વારા પ્રાપ્ત જોખમી ફાઈલ પર ડબલ-ક્લિક કરવાની જરૂર છે.

"સામાન્ય રીતે, Microsoft.XMLHTTP જેવા ActiveX ઑબ્જેક્ટનો દાખલો બનાવતી વખતે, વપરાશકર્તાને Internet Explorer માં સુરક્ષા ચેતવણી પ્રાપ્ત થશે જે અવરોધિત સામગ્રીને સક્રિય કરવા માટે પુષ્ટિ માટે પૂછશે," સંશોધક સમજાવે છે. "જો કે, ખાસ સ્ટાઇલવાળા માર્કઅપ ટૅગ્સનો ઉપયોગ કરીને પૂર્વ-તૈયાર .mht ફાઇલ ખોલતી વખતે વપરાશકર્તા સંભવિત હાનિકારક સામગ્રી વિશે ચેતવણીઓ પ્રાપ્ત કરશે નહીં."

પેજના જણાવ્યા અનુસાર, તેણે વિન્ડોઝ 11, વિન્ડોઝ 7 અને વિન્ડોઝ સર્વર 10 આર2012 પર તમામ નવીનતમ સુરક્ષા અપડેટ્સ સાથે ઇન્ટરનેટ એક્સપ્લોરર 2 બ્રાઉઝરના વર્તમાન સંસ્કરણમાં નબળાઈનું સફળતાપૂર્વક પરીક્ષણ કર્યું.

નેટમાર્કેટશેર અનુસાર, આ નબળાઈની જાહેર જાહેરાતમાં કદાચ એકમાત્ર સારા સમાચાર એ હકીકત છે કે ઈન્ટરનેટ એક્સપ્લોરરનો એક સમયે પ્રભાવશાળી બજાર હિસ્સો હવે ઘટીને માત્ર 7,34% થઈ ગયો છે. પરંતુ વિન્ડોઝ MHT ફાઇલો ખોલવા માટે ડિફોલ્ટ એપ્લિકેશન તરીકે ઇન્ટરનેટ એક્સપ્લોરરનો ઉપયોગ કરે છે, તેથી વપરાશકર્તાઓએ તેમના ડિફોલ્ટ બ્રાઉઝર તરીકે IE સેટ કરવું જરૂરી નથી, અને જ્યાં સુધી IE હજુ પણ તેમની સિસ્ટમ પર હાજર છે અને તેઓ ચૂકવણી કરતા નથી ત્યાં સુધી તેઓ હજુ પણ સંવેદનશીલ છે. ઇન્ટરનેટ પર ડાઉનલોડ ફોર્મેટ ફાઇલો પર ધ્યાન આપો.

27 માર્ચના રોજ, જ્હોને માઇક્રોસોફ્ટને તેમના બ્રાઉઝરમાં આ નબળાઈ વિશે જાણ કરી હતી, પરંતુ 10 એપ્રિલે, સંશોધકને કંપની તરફથી પ્રતિસાદ મળ્યો હતો, જ્યાં તેણે સૂચવ્યું હતું કે તે આ સમસ્યાને ગંભીર નથી માનતી.

માઇક્રોસોફ્ટે પત્રમાં જણાવ્યું હતું કે, "ફિક્સ માત્ર ઉત્પાદનના આગલા સંસ્કરણ સાથે જ રિલીઝ કરવામાં આવશે." "હાલમાં અમારી પાસે આ મુદ્દા માટે ઉકેલ જાહેર કરવાની કોઈ યોજના નથી."

માઇક્રોસોફ્ટના સ્પષ્ટ પ્રતિસાદ પછી, સંશોધકે તેની વેબસાઇટ પર શૂન્ય-દિવસની નબળાઈની વિગતો તેમજ ડેમો કોડ અને યુટ્યુબ પર એક વિડિયો પ્રકાશિત કર્યો.

જો કે આ નબળાઈનો અમલ એટલો સરળ નથી અને કોઈક રીતે વપરાશકર્તાને અજાણી MHT ફાઇલ ચલાવવા માટે દબાણ કરવાની જરૂર છે, માઇક્રોસોફ્ટ તરફથી પ્રતિસાદ ન હોવા છતાં આ નબળાઈને હળવાશથી લેવી જોઈએ નહીં. હેકર જૂથોએ ભૂતકાળમાં ફિશિંગ અને માલવેર વિતરણ માટે MHT ફાઇલોનો ઉપયોગ કર્યો છે, અને હવે તેમને આમ કરવાથી કંઈ રોકશે નહીં. 

જો કે, આ અને ઘણી સમાન નબળાઈઓને ટાળવા માટે, તમારે ફક્ત ઇન્ટરનેટ પરથી પ્રાપ્ત થતી ફાઇલોના એક્સ્ટેંશન પર ધ્યાન આપવાની જરૂર છે અને તેમને એન્ટીવાયરસથી અથવા વાયરસટોટલ વેબસાઇટ પર તપાસો. અને વધારાની સુરક્ષા માટે, ઈન્ટરનેટ એક્સપ્લોરર સિવાયના તમારા મનપસંદ બ્રાઉઝરને .mht અથવા .mhtml ફાઇલો માટે ડિફોલ્ટ એપ્લિકેશન તરીકે સેટ કરો. ઉદાહરણ તરીકે, Windows 10 માં "ફાઇલ પ્રકારો માટે માનક એપ્લિકેશન પસંદ કરો" મેનૂમાં આ એકદમ સરળતાથી થાય છે.

સોર્સ: 3dnews.ru