သောကြာနေ့၊ ဧပြီလ 12 ရက်နေ့တွင် သတင်းအချက်အလက် လုံခြုံရေး အထူးကျွမ်းကျင်သူ John Page သည် လက်ရှိ Internet Explorer ဗားရှင်းတွင် ပြုပြင်မထားသော အားနည်းချက်တစ်ခုအကြောင်း အချက်အလက်ကို ထုတ်ပြန်ခဲ့ပြီး ၎င်း၏ အကောင်အထည်ဖော်မှုကိုလည်း သရုပ်ပြခဲ့သည်။ ဤအားနည်းချက်သည် တိုက်ခိုက်သူအား ဘရောက်ဆာလုံခြုံရေးကို ကျော်ဖြတ်ကာ Windows အသုံးပြုသူများ၏ ဒေသတွင်းဖိုင်များ၏ အကြောင်းအရာများကို ရယူနိုင်စေနိုင်သည်။
အားနည်းချက်မှာ Internet Explorer သည် ပုံမှန်အားဖြင့် .mht သို့မဟုတ် .mhtml တိုးချဲ့မှုရှိသော MHTML ဖိုင်များကို ကိုင်တွယ်သည့်နည်းလမ်းတွင် တည်ရှိသည်။ ဝဘ်စာမျက်နှာများကို သိမ်းဆည်းရန်အတွက် မူလက ဤဖော်မတ်ကို Internet Explorer မှ အသုံးပြုပြီး စာမျက်နှာ၏ အကြောင်းအရာတစ်ခုလုံးကို မီဒီယာအကြောင်းအရာအားလုံးကို ဖိုင်တစ်ခုတည်းအဖြစ် သိမ်းဆည်းရန် ခွင့်ပြုသည်။ လောလောဆယ်တွင် ခေတ်မီဘရောက်ဆာအများစုသည် မထသဖော်မတ်တွင် ဝဘ်စာမျက်နှာများကို မသိမ်းဆည်းတော့ဘဲ စံ WEB ဖော်မတ် - HTML ကို အသုံးပြုထားသော်လည်း ၎င်းတို့သည် ဤဖော်မတ်တွင် လုပ်ဆောင်နေသော ဖိုင်များကို ဆက်လက်ပံ့ပိုးပေးပြီး သင့်လျော်သောဆက်တင်များနှင့်အတူ သိမ်းဆည်းရန်အတွက်လည်း ၎င်းကို အသုံးပြုနိုင်သည်။
John မှရှာဖွေတွေ့ရှိသောအားနည်းချက်သည် အားနည်းချက်များဖြစ်သည့် XXE (XML eXternal Entity) အတန်းတွင်ရှိပြီး Internet Explorer တွင် XML ကုဒ်ကိုင်တွယ်သူ၏ မှားယွင်းသောဖွဲ့စည်းပုံများ ပါဝင်ပါသည်။ “ဤအားနည်းချက်သည် အဝေးမှတိုက်ခိုက်သူအား အသုံးပြုသူ၏ဒေသခံဖိုင်များသို့ဝင်ရောက်ခွင့်ရရှိပြီး ဥပမာအားဖြင့်၊ စနစ်တွင်ထည့်သွင်းထားသည့်ဆော့ဖ်ဝဲဗားရှင်းနှင့်ပတ်သက်သည့်အချက်အလက်များကို ထုတ်ယူနိုင်သည်” ဟု Page ကဆိုသည်။ "ထို့ကြောင့် 'c:Python27NEWS.txt' အတွက် query တစ်ခုသည် ထိုပရိုဂရမ်၏ဗားရှင်း (ဤကိစ္စတွင် Python စကားပြန်) ကို ပြန်ပေးပါမည်။"
Windows တွင် MHT ဖိုင်အားလုံးကို မူရင်းအတိုင်း Internet Explorer တွင်ဖွင့်ထားသောကြောင့်၊ အသုံးပြုသူသည် အီးမေးလ်၊ လူမှုကွန်ရက်များ သို့မဟုတ် instant messengers များမှရရှိသော အန္တရာယ်ရှိသောဖိုင်ကို double-click နှိပ်ရန်သာ လိုအပ်သောကြောင့် ဤအားနည်းချက်ကို အသုံးချခြင်းသည် အသေးအဖွဲအလုပ်ဖြစ်သည်။
"ပုံမှန်အားဖြင့်၊ Microsoft.XMLHTTP ကဲ့သို့သော ActiveX အရာဝတ္ထုတစ်ခုကို ဖန်တီးသောအခါ၊ အသုံးပြုသူသည် ပိတ်ဆို့ထားသောအကြောင်းအရာကို အသက်သွင်းရန် အတည်ပြုချက်တောင်းမည့် Internet Explorer တွင် လုံခြုံရေးသတိပေးချက်ကို ရရှိလိမ့်မည်" ဟု သုတေသီက ရှင်းပြသည်။ "သို့သော်၊ အထူးပုံစံသတ်မှတ်ထားသော markup tags ကိုအသုံးပြု၍ ကြိုတင်ပြင်ဆင်ထားသော .mht ဖိုင်ကိုဖွင့်သောအခါ သုံးစွဲသူသည် အန္တရာယ်ဖြစ်စေနိုင်သော အကြောင်းအရာများနှင့်ပတ်သက်၍ သတိပေးချက်များကို လက်ခံရရှိမည်မဟုတ်ပါ။"
Page ၏ အဆိုအရ၊ Windows 11၊ Windows 7 နှင့် Windows Server 10 R2012 တွင် နောက်ဆုံးထွက် လုံခြုံရေးအပ်ဒိတ်များ အားလုံးဖြင့် Internet Explorer 2 browser ၏ လက်ရှိဗားရှင်းတွင် အားနည်းချက်ကို အောင်မြင်စွာ စမ်းသပ်ခဲ့သည်။
NetMarketShare ၏ အဆိုအရ Internet Explorer ၏ တစ်ချိန်က အသာစီးရခဲ့သော စျေးကွက်ဝေစုသည် ယခုအခါ 7,34% မျှသာ ကျဆင်းသွားသည့် ဤအားနည်းချက်ကို အများသူငှာ ထုတ်ဖော်ခြင်းအတွက် သတင်းကောင်းတစ်ခု ဖြစ်ကောင်းဖြစ်နိုင်သည်။ သို့သော် Windows သည် Internet Explorer ကို မူရင်းအပလီကေးရှင်းအဖြစ် အသုံးပြုထားသောကြောင့် MHT ဖိုင်များကို ဖွင့်ရန်အတွက် အသုံးပြုသူများသည် IE ကို ၎င်းတို့၏ မူရင်းဘရောက်ဆာအဖြစ် သတ်မှတ်ရန် မလိုအပ်ဘဲ IE သည် ၎င်းတို့၏ စနစ်များတွင် ရှိနေသေးသရွေ့ ၎င်းတို့သည် ၎င်းတို့တွင် အားနည်းနေသေး၍ ၎င်းတို့သည် အခကြေးငွေ မပေးရပါ။ အင်တာနက်ပေါ်ရှိ download format ဖိုင်များကိုအာရုံစိုက်ပါ။
မတ်လ 27 တွင် John သည် ၎င်းတို့၏ဘရောက်ဆာရှိ ဤအားနည်းချက်အကြောင်း Microsoft ကိုအကြောင်းကြားခဲ့သော်လည်း ဧပြီလ 10 ရက်နေ့တွင် သုတေသီသည် ကုမ္ပဏီထံမှ တုံ့ပြန်မှုရရှိခဲ့ပြီး ယင်းပြဿနာကို အလေးအနက်မစဉ်းစားကြောင်း ဖော်ပြခဲ့သည်။
“ပြင်ဆင်မှုကို ထုတ်ကုန်၏နောက်ထွက်ဗားရှင်းဖြင့်သာ ထုတ်ပေးလိမ့်မည်” ဟု Microsoft က အဆိုပါစာတွင် ဖော်ပြထားသည်။ "လောလောဆယ်မှာတော့ ဒီကိစ္စအတွက် အဖြေထုတ်ဖို့ အစီအစဉ်မရှိပါဘူး။"
Microsoft မှ ပြတ်ပြတ်သားသား တုံ့ပြန်ပြီးနောက် သုတေသီသည် zero-day vulnerability ၏အသေးစိတ်အချက်အလက်များကို ၎င်း၏ဝဘ်ဆိုဒ်၊ သရုပ်ပြကုဒ်နှင့် YouTube ပေါ်ရှိ ဗီဒီယိုတစ်ခုကို ထုတ်ပြန်ခဲ့သည်။
ဤအားနည်းချက်ကို အကောင်အထည်ဖော်ခြင်းသည် ရိုးရှင်းသည်မဟုတ်သော်လည်း သုံးစွဲသူအား အမည်မသိ MHT ဖိုင်ကို run ရန် တစ်နည်းတစ်ဖုံ တွန်းအားပေးရန် လိုအပ်သော်လည်း Microsoft မှ တုံ့ပြန်မှုမရှိသော်လည်း ဤအားနည်းချက်ကို ပေါ့ပေါ့တန်တန် သဘောမထားသင့်ပေ။ ဟက်ကာအဖွဲ့များသည် ယခင်က မထသဖိုင်များကို ဖြားယောင်းခြင်းနှင့် မဲလ်ဝဲဖြန့်ချီခြင်းအတွက် မထသဖိုင်များကို အသုံးပြုခဲ့ပြီး ယခုအခါ ၎င်းတို့ကို မည်သည့်အရာကမျှ တားဆီးနိုင်မည်မဟုတ်ပေ။
သို့သော်၊ ဤနှင့် အလားတူ အားနည်းချက်များစွာကို ရှောင်ရှားရန်အတွက်၊ သင်သည် အင်တာနက်မှရရှိသည့် ဖိုင်များ၏ တိုးချဲ့မှုကို ဂရုပြုပြီး ၎င်းတို့အား ဗိုင်းရပ်စ်တိုက်ဖျက်ရေး သို့မဟုတ် VirusTotal ဝဘ်ဆိုက်တွင် စစ်ဆေးရန် လိုအပ်ပါသည်။ ထပ်လောင်းလုံခြုံရေးအတွက်၊ .mht သို့မဟုတ် .mhtml ဖိုင်များအတွက် ပုံသေအပလီကေးရှင်းအဖြစ် Internet Explorer မှလွဲ၍ အခြားသင်အကြိုက်ဆုံးဘရောက်ဆာကို သတ်မှတ်လိုက်ပါ။ ဥပမာအားဖြင့်၊ Windows 10 တွင် ၎င်းကို "ဖိုင်အမျိုးအစားများအတွက် စံအက်ပ်များကို ရွေးချယ်ပါ" မီနူးတွင် အလွန်လွယ်ကူစွာ လုပ်ဆောင်နိုင်သည်။
source: 3dnews.ru