loading...

آسیب پذیری بحرانی به کار کتابخانه ImageMagick یاهو پایان داد

آکاایران: آسیب پذیری بحرانی به کار کتابخانه ImageMagick یاهو پایان داد

آکاایران: خداحافظ کتابخانه ImageMagick

آسیب پذیری بحرانی به کار کتابخانه ImageMagick یاهو پایان داد

آسیب پذیری بحرانی به کار کتابخانه ImageMagick یاهو پایان داد
آسیب پذیری مهمی که به تازگی از سوی یک کارشناس امنیتی کشف شده است، به هکرها اجازه می داد تا عکس هایی که درون ایمیل های خصوصی کاربران یاهو موجود بود را مشاهده کنند. یاهو پس از آن که از جزییات مربوط به این آسیب پذیری مطلع شد، تصمیم گرفت کتابخانه ImageMagick را که برای پردازش تصاویر مورد استفاده قرار می گرفت برای همیشه بازنشسته کند.

ImageMagick یک کتابخانه متن باز است که به کاربران اجازه می داد ابعاد تصاویر را تغییر داده، عکس ها را کراپ کرده و تغییرات دلخواه خود را روی تصاویر پیاده سازی کنند. کتابخانه فوق از سوی زبان های برنامه نویسی مطرحی همچون سی پلاس پلاس، پی اچ پی، پایتون، روبی، پرل و ... پشتیبانی می شد. لازم به توضیح است کتابخانه یاد شده سال گذشته میلادی نیز سر و صدای زیادی به پا کرد. به واسطه آن که یک آسیب پذیری روز صفر موسوم به ImageTragick در این کتابخانه شناسایی شد. آسیب پذیری فوق به هکرها اجازه می داد تصاویر جعلی و همچنین مخرب را آپلود کرده و در ادامه کدهای مخرب خود را روی سرورها اجرا کنند.

آسیب پذیری بحرانی به کار کتابخانه ImageMagick یاهو پایان داد

کریس ایوان، پژوهش گر امنیتی هفته گذشته یک قطعه کد مفهومی 18 بایتی را به صورت برخط منتشر کرد و نشان داد هکرها از طریق این قطعه کد کوچک قادر هستند به تصاویر ضمیمه شده در ایمیل های یاهو دسترسی داشته و این تصاویر را منتشر کنند. این آسیب پذیری که به نام خون ریزی یاهو (Yahoobleed) معروف شده است، به هکرها اجازه می داد تصاویر را از حافظه سرورها به سرقت بروند. اکسپلویتی که این کارشناس امنیتی موفق شده آن را کشف کند و جزییات آن را به طور عمومی منتشر کند، از طریق یک آسیب پذیری در کتابخانه ImageMaick مورد استفاده قرار می گرفت. ایوان از برچسب Yahoobleed #1 برای توصیف این آسیب پذیری استفاده کرده است. به واسطه آن که رخنه فوق باعث می شد این سرویس هرگونه محتوایی که در حافظه سرور قرار داشت را به بیرون ارسال کند. آسیب پذیری فوق فقط در ارتباط با فرمت فایلی RLE بوده است. برای سوء استفاده از این آسیب پذیری، هکر ابتدا باید فایل های جعلی RLE را ایجاد کرده و در ادامه برای آدرس ایمیل قربانی ارسال کند. در مرحله بعد می بایست حلقه ای از فرمان های خالی RLE را تولید می کرد تا محتوای درون حافظه سرور را به دست آورد.

کریس ایوان برای آن که نشان دهد چنین حمله ای در دنیای واقعی امکان پذیر است، یک کد مفهومی 18 بایتی را ایجاد کرد و در ادامه این ضمیمه آلوده را برای آدرس ایمیل خودش ارسال کرد. زمانی که این ایمیل و تصویر مخرب ضمیمه شده به آن در حساب کاربری ایوان دریافت شد، کتابخانه ImageMagick فرآیند پردازش تصویر را آغاز کرد و در ادامه سعی کرد پیش نمایشی از تصویر را نشان دهد، حال آن که کدهای مخرب ایوان باعث شدند تا تصویر خرابی به نمایش درآید.

هنگامی که کاربر سعی می کند روی تصویر کلیک کند، وضعیت پیش نمایش به نمایش در می آید و به جای تصویری که هکر ارسال کرده، تصویری که در حافظه سرور قرار دارد را نشان می دهد. در شرایطی که آسیب پذیری هایی همچون خون ریزی قلبی (Heartbleed) و خون ریزی کلاود (Cloudbleed) باعث افشا شدن محتوای حافظه خارج از محدوده موجود می شدند در آسیب پذیری خون ریز یاهو به منظور افشا اطلاعات از مقادیر مقداردهی نشده استفاده می شد. یاهو به محض دریافت جزییات مربوطه ضمن وصله کردن این آسیب پذیری تصمیم گرفت این کتابخانه مشکل دار را برای همیشه بازنشسته کند. کریس ایوان به پاس شناسایی و گزارش این آسیب پذیری مبلغ 18 هزار دلار پاداش از یاهو دریافت کرد. اما این محقق گفت که دوست دارد جایزه خود را به یک موسسه خیریه تحویل دهد. یاهو نیز از این پیشنهاد استقبال کرد و جایزه او را دو برابر کرده و به مبلغ 28 هزار دلار افزایش داد.

 

.

منبع : shabakeh-mag.com

تبلیغات