أخبار وتقنياتالأمن الإالكتروني
قراصنة تكشف كيف يعمل قانون حقن الحقن في تطبيق رسائل الإشارات
بعد الكشف عن تفاصيل هجوم eFail ، فقد حان الوقت للكشف عن كيفية عمل ثغرة في إدخال الشفرة التي تم الإبلاغ عنها مؤخرًا في تطبيق المراسلة المشفرة من طرف إلى طرف.
كما ذكرنا في نهاية الأسبوع الماضي ، قامت Signal بتصحيح تطبيق المراسلة الخاص بها لنظامي التشغيل Windows و Linux اللذان عانوا من ثغرة أمنية للاكتشاف في الشفرة تم اكتشافها والإبلاغ عنها من قبل فريق من المتسللين ذوي القبعات البيضاء من الأرجنتين.
كان من الممكن استغلال الثغرة الأمنية من قبل المهاجمين عن بعد لضخ حمولة ضارة داخل تطبيق Signal Desktop الذي يعمل على نظام المستلمين فقط عن طريق إرسالهم رابطًا معد خصيصًا - دون الحاجة إلى أي تفاعل من المستخدم.
وفقًا لمقالة نشرتها اليوم ، تم اكتشاف الثغرة عن طريق الخطأ بينما كان الباحثون - إيفان أرييل باريرا أورو وألفريدو أورتيغا وجوليانو ريزو - يتحادثون في برنامج Signal messenger وشارك أحدهم رابطًا للموقع الضعيف مع حمولة XSS في عنوان URL الخاص به .
ومع ذلك ، تم تنفيذ حمولة XSS بشكل غير متوقع على تطبيق سطح المكتب Signal.
يُعرف XSS ، المعروف أيضًا باسم البرمجة النصية عبر المواقع ، بأنه متجه هجوم شائع يسمح للمهاجمين بحقن شفرة ضارة في تطبيق ويب ضعيف.
بعد تحليل نطاق هذه المشكلة من خلال اختبار حمولات XSS متعددة ، وجد الباحثون أن الثغرة موجودة في الوظيفة المسؤولة عن التعامل مع الروابط المشتركة ، مما يسمح للمهاجمين بحقن شفرة HTML / JavaScript المعرفة من قبل المستخدم عبر iFrame ، الصورة ، الفيديو والسماعات.
باستخدام هذه الثغرة ، يستطيع المهاجمون حتى إدخال نموذج على نافذة الدردشة الخاصة بالمستلم ، ويخدعهم ليكشفوا عن معلوماتهم الحساسة باستخدام هجمات الهندسة الاجتماعية.
كان قد تم توقع سابقًا أن عيب الإشارة قد سمح للمهاجمين بتنفيذ أوامر النظام أو الحصول على معلومات حساسة مثل مفاتيح فك التشفير - لكن لا ، ليس الأمر كذلك.
تم تصحيح هذه الثغرة على الفور من قبل مطوري الإشارة بعد فترة وجيزة من إصدار أورتيجا في نهاية الأسبوع الماضي لفيديو إثبات الفكرة.
وجد الباحثون أيضًا أن هناك تصحيحًا (وظيفة regex للتحقق من صحة عناوين URL) لهذه الثغرة الموجودة في الإصدارات السابقة من تطبيق سطح المكتب ، ولكن تم إزالتها أو تخطيها بطريقة أو بأخرى في تحديث الإشارة الصادر في 10 أبريل من هذا العام.
الآن ، بعد معرفة التفاصيل الكاملة عن الضعف ، يبدو أن القضية ليست خطيرة أو خطيرة ، كما هو متوقع.
حتى تتمكن من الاعتماد بحرية على Signal للاتصالات المشفرة دون أي قلق. فقط تأكد من تحديث الخدمة دائمًا.
ليست هناك تعليقات:
إرسال تعليق