माइक्रोसफ्टले इन्टरनेट एक्सप्लोररमा शून्य-दिनको जोखिम फिक्स गर्न अस्वीकार गर्‍यो

शुक्रबार, अप्रिल 12 मा, सूचना सुरक्षा विशेषज्ञ जोन पृष्ठले इन्टरनेट एक्सप्लोररको हालको संस्करणमा असुधारित जोखिमको बारेमा जानकारी प्रकाशित गर्‍यो, र यसको कार्यान्वयन पनि प्रदर्शन गर्‍यो। यो जोखिमले सम्भावित रूपमा आक्रमणकर्तालाई ब्राउजर सुरक्षालाई बाइपास गर्दै Windows प्रयोगकर्ताहरूको स्थानीय फाइलहरूको सामग्रीहरू प्राप्त गर्न अनुमति दिन सक्छ।

इन्टर्नेट एक्सप्लोररले MHTML फाइलहरू ह्यान्डल गर्ने तरिकामा जोखिम हुन्छ, सामान्यतया ती .mht वा .mhtml एक्सटेन्सनका साथ। यो ढाँचा इन्टरनेट एक्सप्लोरर द्वारा वेब पृष्ठहरू बचत गर्नको लागि पूर्वनिर्धारित रूपमा प्रयोग गरिन्छ, र तपाइँलाई एकल फाइलको रूपमा सबै मिडिया सामग्री सहित पृष्ठको सम्पूर्ण सामग्री बचत गर्न अनुमति दिन्छ। हाल, धेरै आधुनिक ब्राउजरहरूले अब MHT ढाँचामा वेब पृष्ठहरू बचत गर्दैनन् र मानक WEB ढाँचा - HTML प्रयोग गर्दैनन्, तर तिनीहरू अझै पनि यस ढाँचामा फाइलहरू प्रशोधन गर्न समर्थन गर्छन्, र उपयुक्त सेटिङहरू वा विस्तारहरू प्रयोग गरेर बचत गर्न पनि प्रयोग गर्न सक्छन्।

जोनले पत्ता लगाएको जोखिम XXE (XML बाह्य निकाय) को कमजोरी वर्गसँग सम्बन्धित छ र इन्टरनेट एक्सप्लोररमा XML कोड ह्यान्डलरको गलत कन्फिगरेसन समावेश गर्दछ। "यो जोखिमले टाढाको आक्रमणकारीलाई प्रयोगकर्ताको स्थानीय फाइलहरूमा पहुँच प्राप्त गर्न र उदाहरणका लागि, प्रणालीमा स्थापित सफ्टवेयरको संस्करणको बारेमा जानकारी निकाल्न अनुमति दिन्छ," पृष्ठ भन्छन्। "त्यसोभए 'c:Python27NEWS.txt' को लागि एउटा प्रश्नले त्यो कार्यक्रमको संस्करण फिर्ता गर्नेछ (यस अवस्थामा पाइथन अनुवादक)।"

Windows मा सबै MHT फाइलहरू पूर्वनिर्धारित रूपमा इन्टरनेट एक्सप्लोररमा खुल्ने हुनाले, यो जोखिमको शोषण गर्नु एउटा सानो काम हो किनभने प्रयोगकर्ताले इमेल, सामाजिक सञ्जाल वा इन्स्ट्यान्ट मेसेन्जरहरूबाट प्राप्त खतरनाक फाइलमा मात्र डबल-क्लिक गर्नुपर्छ।

"सामान्यतया, Microsoft.XMLHTTP जस्ता ActiveX वस्तुको उदाहरण सिर्जना गर्दा, प्रयोगकर्ताले इन्टरनेट एक्सप्लोररमा सुरक्षा चेतावनी प्राप्त गर्नेछ जसले अवरुद्ध सामग्री सक्रिय गर्न पुष्टि गर्न सोध्नेछ," अनुसन्धानकर्ताले बताउँछन्। "यद्यपि, विशेष स्टाइल मार्कअप ट्यागहरू प्रयोग गरेर पूर्व-तयार गरिएको .mht फाइल खोल्दा प्रयोगकर्ताले सम्भावित हानिकारक सामग्रीको बारेमा चेतावनीहरू प्राप्त गर्ने छैनन्।"

पृष्ठका अनुसार, उनले विन्डोज 11, विन्डोज 7 र विन्डोज सर्भर 10 R2012 मा सबै नवीनतम सुरक्षा अपडेटहरूको साथ इन्टरनेट एक्सप्लोरर 2 ब्राउजरको हालको संस्करणमा कमजोरीहरू सफलतापूर्वक परीक्षण गरे।

नेटमार्केटशेयरका अनुसार इन्टरनेट एक्स्प्लोररको एक समयको प्रमुख बजार सेयर अहिले 7,34% मा झरेको तथ्य यो हो कि यो जोखिमको सार्वजनिक खुलासामा एक मात्र राम्रो समाचार हो। तर विन्डोजले MHT फाइलहरू खोल्नको लागि पूर्वनिर्धारित अनुप्रयोगको रूपमा इन्टरनेट एक्सप्लोरर प्रयोग गर्ने भएकोले, प्रयोगकर्ताहरूले अनिवार्य रूपमा IE लाई उनीहरूको पूर्वनिर्धारित ब्राउजरको रूपमा सेट गर्नुपर्दैन, र तिनीहरू अझै पनि कमजोर हुन्छन् जबसम्म IE अझै तिनीहरूको प्रणालीमा अवस्थित छ र तिनीहरूले भुक्तानी गर्दैनन्। इन्टरनेटमा डाउनलोड ढाँचा फाइलहरूमा ध्यान।

मार्च 27 मा फिर्ता, जोनले माइक्रोसफ्टलाई उनीहरूको ब्राउजरमा यो जोखिमको बारेमा सूचित गर्यो, तर अप्रिल 10 मा, अनुसन्धानकर्ताले कम्पनीबाट प्रतिक्रिया प्राप्त गर्यो, जहाँ यसले संकेत गर्यो कि यसले यो समस्यालाई महत्वपूर्ण मानिदैन।

"फिक्स उत्पादनको अर्को संस्करणको साथ मात्र जारी गरिनेछ," माइक्रोसफ्टले पत्रमा भन्यो। "हामीसँग हाल यस समस्याको समाधान जारी गर्ने कुनै योजना छैन।"

माइक्रोसफ्टको स्पष्ट प्रतिक्रिया पछि, अनुसन्धानकर्ताले आफ्नो वेबसाइटमा शून्य-दिन जोखिमको विवरण, साथै डेमो कोड र YouTube मा एक भिडियो प्रकाशित गरे।

यद्यपि यो जोखिमको कार्यान्वयन त्यति सरल छैन र कुनै न कुनै रूपमा प्रयोगकर्तालाई अज्ञात MHT फाइल चलाउन बाध्य पार्न आवश्यक छ, माइक्रोसफ्टबाट प्रतिक्रियाको कमी भए पनि यो जोखिमलाई हल्का रूपमा लिनु हुँदैन। ह्याकर समूहहरूले विगतमा फिसिङ र मालवेयर वितरणको लागि MHT फाइलहरू प्रयोग गरेका छन्, र तिनीहरूलाई अब त्यसो गर्नबाट कुनै पनि कुराले रोक्न सक्दैन। 

यद्यपि, यो र धेरै समान कमजोरीहरूबाट बच्नको लागि, तपाईंले इन्टरनेटबाट प्राप्त गर्नुहुने फाइलहरूको विस्तारमा ध्यान दिनुपर्छ र तिनीहरूलाई एन्टिभाइरस वा VirusTotal वेबसाइटमा जाँच गर्न आवश्यक छ। र थपिएको सुरक्षाको लागि, इन्टरनेट एक्सप्लोरर बाहेक आफ्नो मनपर्ने ब्राउजरलाई .mht वा .mhtml फाइलहरूको लागि पूर्वनिर्धारित अनुप्रयोगको रूपमा सेट गर्नुहोस्। उदाहरणका लागि, Windows 10 मा यो "फाइल प्रकारका लागि मानक अनुप्रयोगहरू चयन गर्नुहोस्" मेनुमा सजिलैसँग गरिन्छ।

स्रोत: 3dnews.ru