محققان امنیتی یک آسیب‌پذیری حیاتی را در برنامه پیام‌رسان محبوب Signal (نسخه دسکتاپ) که در آن رمزنگاری نقطه‌به‌نقطه(۱) به کارگرفته شده و در کامپیوترهای دارای سیستم‌عامل ویندوز و لینوکس اجرا می‌شود کشف کردند که می‌تواند به مهاجمان از راه دور اجازه دهد که یک کد مخرب را تنها با ارسال یک پیام و بدون نیاز به مداخله کاربر بر روی سیستم‌های گیرنده اجرا کنند.
این آسیب‌پذیری توسط Alfredo Ortega، یک مشاور امنیتی نرم‌افزار از آرژانتین کشف شد که در توییتر و همراه با یک فیلم اثبات ادعا منتشر شد[۱] و نشان می‌داد که چگونه یک payload جاوا اسکریپت که از طریق برنامه Signal دسکتاپ فرستاده شده با موفقیت در سیستم دریافت‌کننده اجرا می‌شود[۲].
اگرچه جزئیات فنی این آسیب‌پذیری تاکنون منتشر نشده است، اما به نظر می‌رسد این مشکل یک آسیب‌پذیری اجرای کد از راه دور یا حداقل چیزی نزدیک به آسیب‌پذیری دائمی(۲) XSS در Signal است که درنهایت می‌تواند مهاجمین را قادر به تزریق کدهای مخرب بر روی ویندوز و سیستم‌های لینوکسِ مورد هدف کند.
Ortega به The Hacker News دراین‌باره گفت: “در حال حاضر ما تنها می‌توانیم اجرای کد جاوا اسکریپت را تأیید کنیم. بااین‌وجود ما در حال ردیابی مسئله فساد پشته(۳) هستیم و این احتمالاً بیشتر از اجرای جاوا اسکریپت می‌تواند منجر به اجرای کد محلی(۴) شود.”
Ortega همچنین تأیید کرد که بهره‌برداری از این مسئله نیاز به استفاده از چند آسیب‌پذیری دارد که دو محقق امنیتی دیگر از آرژانتین به نام‌هایIvan و Juliano پیدا کرده‌اند.
Ivan دراین‌باره می‌گوید[۳]: “من می‌توانم تأیید کنم که این اشکال پیش‌ازاین وجود نداشت و اخیراً معرفی شد، زیرا توسعه‌دهندگان فراموش کرده‌اند که چرا یک regex برای شروع در آنجا وجود دارد. من می‌خواهم یک نظر برای این دیدگاه پیشنهاد دهم اگر دوباره تکرار نشود (TBD)”.
در این لحظه روشن نیست که آیا آسیب‌پذیری اولیه یا سایر اشکالات زنجیره‌ای تنها در منبع کد Signal وجود دارند یا همچنین در فریم‌ورک محبوب Electron نیز قرار دارند[۴]. Electron تکنولوژی است که در آن برنامه‌های دسکتاپ Signal مستقر هستند.
اگر این نقص در فریم‌ورک Electron قرار داشته باشد، ممکن است بر روی دیگر برنامه‌های کاربردی دسکتاپ رایج مانند اسکایپ، وردپرس و Slack نیز تأثیر بگذارد که از یک فریم‌ورک مشابه استفاده می‌کنند.
علاوه بر این، جامعه infosec نیز نگران است که اگر این نقص اجازه می‌دهد تا مهاجمان از راه دور کلیدهای رمزگذاری مخفی کاربران را نیز سرقت کنند، این موضوع بدترین کابوس برای کاربران Signal خواهد بود.
خبر خوب این است که Open Whisper Systems در حال حاضر این موضوع را موردبررسی قرار داده و بلافاصله نسخه‌های جدیدی از برنامه Signal را پس از دریافت اطلاعات مربوط به این آسیب‌پذیری ظرف چند ساعت منتشر کرده است.
آسیب‌پذیری اولیه‌ای که باعث اجرای کد می‌شود در نسخه ۱٫۱۰٫۱ برنامه Signal پایدار و نسخه سوم بتای ۱٫۱۱٫۰ برطرف شده است[۵]. بنابراین، به کاربران توصیه می‌شود که برنامه Signal دسکتاپ خود را در اسرع وقت به‌روز کنند.
Ortega به The Hacker News دراین‌باره گفت: “در این زمان ما مطمئن نیستیم که همه آسیب‌پذیری‌های مرتبط با این مشکل برطرف شده باشند.”
آخرین نسخه منتشر شده همچنین آسیب‌پذیری اخیراً افشاشده در Signal دسکتاپ را برطرف کرده است که پیام‌های ناپدیدشده را در یک پایگاه داده قابل‌خواندن از مرکز اطلاع‌رسانی macOS افشا می‌کرد، حتی اگر این پیام‌ها از برنامه حذف شده باشند[۶].
منابع
[۱] https://youtu.be/bfFcD9kZog4
[۲] https://twitter.com/ortegaalfredo/status/995017143002509313
[۳] https://twitter.com/HacKanCuBa/status/995153027337244672
[۴] https://thehackernews.com/2018/01/electron-js-hacking.html
[۵] https://github.com/signalapp/Signal-Desktop/releases
[۶] https://thehackernews.com/2018/05/signal-secure-messaging.html
[۷] https://thehackernews.com/2018/05/signal-messenger-vulnerability.html
(۱) End-to-end
(۲) persistent
(۳) heap corruption
(۴) native
ثبت ديدگاه