मायक्रोसॉफ्टने इंटरनेट एक्सप्लोररमधील शून्य-दिवस असुरक्षा निश्चित करण्यास नकार दिला

शुक्रवार, 12 एप्रिल रोजी, माहिती सुरक्षा तज्ञ जॉन पेज यांनी इंटरनेट एक्सप्लोररच्या वर्तमान आवृत्तीमध्ये चुकीच्या असुरक्षिततेबद्दल माहिती प्रकाशित केली आणि त्याची अंमलबजावणी देखील दर्शविली. ही भेद्यता आक्रमणकर्त्याला ब्राउझरच्या सुरक्षिततेला मागे टाकून Windows वापरकर्त्यांच्या स्थानिक फाइल्सची सामग्री मिळविण्याची परवानगी देऊ शकते.

इंटरनेट एक्सप्लोरर ज्या प्रकारे MHTML फाईल्स हाताळते त्यात असुरक्षितता आहे, विशेषत: .mht किंवा .mhtml एक्स्टेंशन असलेल्या. हे फॉरमॅट इंटरनेट एक्सप्लोरर द्वारे डीफॉल्ट वेब पृष्ठे जतन करण्यासाठी वापरले जाते आणि तुम्हाला सर्व मीडिया सामग्रीसह पृष्ठाची संपूर्ण सामग्री एकल फाइल म्हणून जतन करण्याची परवानगी देते. या क्षणी, बहुतेक आधुनिक ब्राउझर यापुढे MHT फॉरमॅटमध्ये वेब पेज सेव्ह करत नाहीत आणि मानक WEB फॉरमॅट - HTML वापरत नाहीत, परंतु तरीही ते या फॉरमॅटमध्ये प्रोसेसिंग फायलींना समर्थन देतात आणि योग्य सेटिंग्जसह सेव्ह करण्यासाठी किंवा विस्तार वापरण्यासाठी देखील वापरू शकतात.

जॉनने शोधलेली असुरक्षा XXE (XML external Entity) वर्गातील भेद्यतेची आहे आणि त्यात Internet Explorer मधील XML कोड हँडलरच्या चुकीच्या कॉन्फिगरेशनचा समावेश आहे. “ही भेद्यता रिमोट आक्रमणकर्त्याला वापरकर्त्याच्या स्थानिक फाइल्समध्ये प्रवेश मिळवू देते आणि उदाहरणार्थ, सिस्टमवर स्थापित सॉफ्टवेअरच्या आवृत्तीबद्दल माहिती काढू देते,” पेज म्हणतात. "म्हणून 'c:Python27NEWS.txt' साठी क्वेरी त्या प्रोग्रामची आवृत्ती परत करेल (या प्रकरणात पायथन इंटरप्रिटर)."

विंडोजमध्ये सर्व MHT फाइल्स इंटरनेट एक्सप्लोररमध्ये डीफॉल्टनुसार उघडल्या जात असल्याने, या असुरक्षिततेचा फायदा घेणे हे एक क्षुल्लक काम आहे कारण वापरकर्त्याला ईमेल, सोशल नेटवर्क्स किंवा इन्स्टंट मेसेंजर्सद्वारे प्राप्त झालेल्या धोकादायक फाइलवर डबल-क्लिक करणे आवश्यक आहे.

"सामान्यत:, Microsoft.XMLHTTP सारख्या ActiveX ऑब्जेक्टचे उदाहरण तयार करताना, वापरकर्त्याला इंटरनेट एक्सप्लोररमध्ये सुरक्षा चेतावणी प्राप्त होईल जी अवरोधित सामग्री सक्रिय करण्यासाठी पुष्टीकरणासाठी विचारेल," संशोधक स्पष्ट करतात. "तथापि, पूर्व-तयार .mht फाईल उघडताना खास शैलीतील मार्कअप टॅग वापरून वापरकर्त्याला संभाव्य हानिकारक सामग्रीबद्दल चेतावणी प्राप्त होणार नाहीत."

पेजच्या मते, त्याने Windows 11, Windows 7 आणि Windows Server 10 R2012 वरील सर्व नवीनतम सुरक्षा अद्यतनांसह इंटरनेट एक्सप्लोरर 2 ब्राउझरच्या वर्तमान आवृत्तीमधील भेद्यतेची यशस्वीपणे चाचणी केली.

नेटमार्केटशेअरच्या म्हणण्यानुसार, या असुरक्षिततेच्या सार्वजनिक प्रकटीकरणातील कदाचित एकमेव चांगली बातमी ही आहे की इंटरनेट एक्सप्लोररचा एकेकाळचा बाजारातील हिस्सा आता केवळ 7,34% पर्यंत घसरला आहे. परंतु MHT फाइल्स उघडण्यासाठी Windows इंटरनेट एक्सप्लोररचा डीफॉल्ट ऍप्लिकेशन म्हणून वापर करत असल्याने, वापरकर्त्यांना IE त्यांच्या डीफॉल्ट ब्राउझर म्हणून सेट करण्याची गरज नाही आणि जोपर्यंत IE त्यांच्या सिस्टमवर अस्तित्वात आहे आणि ते पैसे देत नाहीत तोपर्यंत ते असुरक्षित आहेत. इंटरनेटवरील डाउनलोड फॉरमॅट फाइल्सकडे लक्ष द्या.

27 मार्च रोजी, जॉनने मायक्रोसॉफ्टला त्यांच्या ब्राउझरमधील या असुरक्षिततेबद्दल सूचित केले, परंतु 10 एप्रिल रोजी, संशोधकाला कंपनीकडून प्रतिसाद मिळाला, जिथे त्याने सूचित केले की ही समस्या गंभीर असल्याचे मानले जात नाही.

मायक्रोसॉफ्टने पत्रात म्हटले आहे की, “फिक्स फक्त उत्पादनाच्या पुढील आवृत्तीसह रिलीज केले जाईल. "आमच्याकडे सध्या या समस्येचे निराकरण करण्याची कोणतीही योजना नाही."

मायक्रोसॉफ्टच्या स्पष्ट प्रतिसादानंतर, संशोधकाने त्याच्या वेबसाइटवर शून्य-दिवस असुरक्षिततेचे तपशील तसेच डेमो कोड आणि YouTube वर व्हिडिओ प्रकाशित केला.

जरी या भेद्यतेची अंमलबजावणी तितकीशी सोपी नसली आणि वापरकर्त्याला अज्ञात MHT फाईल चालवण्यास भाग पाडणे आवश्यक असले तरी, Microsoft कडून प्रतिसाद नसतानाही ही भेद्यता हलक्यात घेतली जाऊ नये. हॅकर गटांनी भूतकाळात फिशिंग आणि मालवेअर वितरणासाठी MHT फायली वापरल्या आहेत आणि आता त्यांना असे करण्यापासून काहीही रोखणार नाही. 

तथापि, या आणि तत्सम अनेक असुरक्षा टाळण्यासाठी, आपल्याला फक्त इंटरनेटवरून प्राप्त झालेल्या फायलींच्या विस्ताराकडे लक्ष देणे आवश्यक आहे आणि त्यांना अँटीव्हायरस किंवा VirusTotal वेबसाइटवर तपासणे आवश्यक आहे. आणि अतिरिक्त सुरक्षिततेसाठी, .mht किंवा .mhtml फाइल्ससाठी इंटरनेट एक्सप्लोरर व्यतिरिक्त तुमचा आवडता ब्राउझर डीफॉल्ट अॅप्लिकेशन म्हणून सेट करा. उदाहरणार्थ, Windows 10 मध्ये "फाइल प्रकारांसाठी मानक अनुप्रयोग निवडा" मेनूमध्ये हे अगदी सहजपणे केले जाते.

स्त्रोत: 3dnews.ru