माइक्रोसॉफ्ट ने इंटरनेट एक्सप्लोरर में शून्य-दिन की भेद्यता को ठीक करने से इंकार कर दिया

शुक्रवार, 12 अप्रैल को, सूचना सुरक्षा विशेषज्ञ जॉन पेज ने इंटरनेट एक्सप्लोरर के वर्तमान संस्करण में एक असुधारित भेद्यता के बारे में जानकारी प्रकाशित की, और इसके कार्यान्वयन का प्रदर्शन भी किया। यह भेद्यता संभावित रूप से किसी हमलावर को ब्राउज़र सुरक्षा को दरकिनार करते हुए विंडोज उपयोगकर्ताओं की स्थानीय फ़ाइलों की सामग्री प्राप्त करने की अनुमति दे सकती है।

भेद्यता उस तरीके में निहित है जिस तरह से इंटरनेट एक्सप्लोरर एमएचटीएमएल फाइलों को संभालता है, आमतौर पर .mht या .mhtml एक्सटेंशन वाली फाइलें। यह प्रारूप इंटरनेट एक्सप्लोरर द्वारा वेब पेजों को सहेजने के लिए डिफ़ॉल्ट रूप से उपयोग किया जाता है, और आपको सभी मीडिया सामग्री के साथ पेज की संपूर्ण सामग्री को एक फ़ाइल के रूप में सहेजने की अनुमति देता है। फिलहाल, अधिकांश आधुनिक ब्राउज़र अब वेब पेजों को एमएचटी प्रारूप में सहेजते नहीं हैं और मानक वेब प्रारूप - एचटीएमएल का उपयोग करते हैं, लेकिन वे अभी भी इस प्रारूप में फ़ाइलों को संसाधित करने का समर्थन करते हैं, और इसका उपयोग उचित सेटिंग्स के साथ सहेजने या एक्सटेंशन का उपयोग करने के लिए भी कर सकते हैं।

जॉन द्वारा खोजी गई भेद्यता XXE (एक्सएमएल एक्सटर्नल एंटिटी) वर्ग की कमजोरियों से संबंधित है और इसमें इंटरनेट एक्सप्लोरर में एक्सएमएल कोड हैंडलर का गलत कॉन्फ़िगरेशन शामिल है। पेज का कहना है, "यह भेद्यता एक दूरस्थ हमलावर को उपयोगकर्ता की स्थानीय फ़ाइलों तक पहुंच प्राप्त करने और उदाहरण के लिए, सिस्टम पर इंस्टॉल किए गए सॉफ़्टवेयर के संस्करण के बारे में जानकारी निकालने की अनुमति देती है।" "तो 'c:Python27NEWS.txt' के लिए एक क्वेरी उस प्रोग्राम का संस्करण (इस मामले में पायथन दुभाषिया) लौटा देगी।"

चूँकि विंडोज़ में सभी एमएचटी फ़ाइलें डिफ़ॉल्ट रूप से इंटरनेट एक्सप्लोरर में खुलती हैं, इस भेद्यता का फायदा उठाना एक मामूली काम है क्योंकि उपयोगकर्ता को केवल ईमेल, सोशल नेटवर्क या इंस्टेंट मैसेंजर द्वारा प्राप्त खतरनाक फ़ाइल पर डबल-क्लिक करने की आवश्यकता होती है।

शोधकर्ता बताते हैं, "आम तौर पर, Microsoft.XMLHTTP जैसे ActiveX ऑब्जेक्ट का उदाहरण बनाते समय, उपयोगकर्ता को इंटरनेट एक्सप्लोरर में एक सुरक्षा चेतावनी प्राप्त होगी जो अवरुद्ध सामग्री को सक्रिय करने के लिए पुष्टि मांगेगी।" "हालांकि, विशेष रूप से स्टाइल किए गए मार्कअप टैग का उपयोग करके पूर्व-तैयार .mht फ़ाइल खोलते समय उपयोगकर्ता को संभावित रूप से हानिकारक सामग्री के बारे में चेतावनियाँ नहीं मिलेंगी।"

पेज के अनुसार, उन्होंने विंडोज 11, विंडोज 7 और विंडोज सर्वर 10 आर2012 पर सभी नवीनतम सुरक्षा अपडेट के साथ इंटरनेट एक्सप्लोरर 2 ब्राउज़र के वर्तमान संस्करण में भेद्यता का सफलतापूर्वक परीक्षण किया।

शायद इस भेद्यता के सार्वजनिक प्रकटीकरण में एकमात्र अच्छी खबर यह तथ्य है कि नेटमार्केटशेयर के अनुसार, इंटरनेट एक्सप्लोरर की एक बार प्रमुख बाजार हिस्सेदारी अब घटकर मात्र 7,34% रह गई है। लेकिन चूँकि विंडोज़ MHT फ़ाइलें खोलने के लिए इंटरनेट एक्सप्लोरर को डिफ़ॉल्ट एप्लिकेशन के रूप में उपयोग करता है, उपयोगकर्ताओं को IE को अपने डिफ़ॉल्ट ब्राउज़र के रूप में सेट करने की आवश्यकता नहीं है, और वे तब तक असुरक्षित हैं जब तक IE अभी भी उनके सिस्टम पर मौजूद है और वे भुगतान नहीं करते हैं इंटरनेट पर डाउनलोड प्रारूप फ़ाइलों पर ध्यान दें।

27 मार्च को, जॉन ने माइक्रोसॉफ्ट को अपने ब्राउज़र में इस भेद्यता के बारे में सूचित किया, लेकिन 10 अप्रैल को, शोधकर्ता को कंपनी से एक प्रतिक्रिया मिली, जहां उसने संकेत दिया कि वह इस समस्या को गंभीर नहीं मानता है।

माइक्रोसॉफ्ट ने पत्र में कहा, "फ़िक्स केवल उत्पाद के अगले संस्करण के साथ जारी किया जाएगा।" "वर्तमान में इस मुद्दे का समाधान जारी करने की हमारी कोई योजना नहीं है।"

माइक्रोसॉफ्ट की स्पष्ट प्रतिक्रिया के बाद, शोधकर्ता ने अपनी वेबसाइट पर शून्य-दिन की भेद्यता का विवरण, साथ ही डेमो कोड और यूट्यूब पर एक वीडियो प्रकाशित किया।

हालाँकि इस भेद्यता का कार्यान्वयन इतना सरल नहीं है और इसके लिए उपयोगकर्ता को किसी अज्ञात MHT फ़ाइल को चलाने के लिए मजबूर करने की आवश्यकता होती है, Microsoft की ओर से प्रतिक्रिया की कमी के बावजूद इस भेद्यता को हल्के में नहीं लिया जाना चाहिए। हैकर समूहों ने अतीत में फ़िशिंग और मैलवेयर वितरण के लिए एमएचटी फ़ाइलों का उपयोग किया है, और अब उन्हें ऐसा करने से कोई नहीं रोक पाएगा। 

हालाँकि, इससे और इसी तरह की कई कमजोरियों से बचने के लिए, आपको बस इंटरनेट से प्राप्त होने वाली फ़ाइलों के एक्सटेंशन पर ध्यान देना होगा और उन्हें एंटीवायरस या वायरसटोटल वेबसाइट पर जांचना होगा। और अतिरिक्त सुरक्षा के लिए, बस इंटरनेट एक्सप्लोरर के अलावा अपने पसंदीदा ब्राउज़र को .mht या .mhtml फ़ाइलों के लिए डिफ़ॉल्ट एप्लिकेशन के रूप में सेट करें। उदाहरण के लिए, विंडोज़ 10 में यह "फ़ाइल प्रकारों के लिए मानक एप्लिकेशन चुनें" मेनू में काफी आसानी से किया जाता है।

स्रोत: 3dnews.ru