روابط عمومی شرکت ایدکو (توزیع کننده محصولات کسپرسکی در ایران)؛به تازگی محققان امنیتی یک آسیب پذیری جدی را در برنامه ی پیام رسان محبوب Signal نسخه ی دسکتاپی آن یافته اند که در آن عملیات رمزنگاری نقطه به نقطه به کار گرفته شده است و در سیستم عامل های ویندوز و لینکوس قابل اجرا است. این آسیب پذیری می تواند به مجرمان اجازه دهد تا یک کد مخرب را با ارسال یک مسیج و بدون اینکه نیازی به تداخل در سیستم گیرنده داشته باشند اجرا کند.
آسیب پذیری بوجود آمده توسط Alfredo Ortega مشاور امنیتی نرم افزار شناسایی شد که در توییتر به همراه یک ویدئو آن را اثبات کرده است و نشان میدهد که چگونه یک پیلود جاوااسکریپت از طریق برنامه ی سیگنال فرستاده می شود و با موفقیت در سیستم کاربر قابل اجرا است.
اگرچه جزئیات فنی تر این آسیب پذیری تا به حال نشر نشده است اما اینطور که به نظر می رسد این آسیب پذیری یک اجرای کد از راه دور یا چیزی شبیه یک آسیب پذیری دایمی XSS در برنامه ی سیگنال است که می تواند مجرمان را برای تزریق کدهای مخرب بر روی ویندوز و لینکوس قادر بسازد.
Ortega محقق امنیتی به وب سایت امنیتی Hacker News گفت: " در حال حاضر این فقط ما هستیم که می توانیم اجرای کدهای جاوااسکریپت را تایید کنیم. اما با این حال ما در حال ردیابی آن هستیم و احتمالا این آسیب پذیری بیشتر از اجرای جاوا اسکریپت می تواند به اجرای کدهای محلی منجر شود".
وی همچنین گفت: بهره برداری از این موضوع به به کار گرفتن چندین آسیب پذیری نیاز دارند که دو محقق امنیتی آرژانتینی دیگر با نام ها Ivan و Juliano این کار را انجام داده اند.
Ivan این محقق امنیتی می گوید: " من می توانم ثابت کنم که این آسیب پذیری پیش از این وجود نداشت و به تازگی است که رونمایی شده است زیرا توسعه دهندگان فراموش کرده اند که علت وجود یک regex برای شروع چیست".
هنوز مشخص نیست که این آسیب پذیری اولیه یا سایر مشکلات زنجیره ای در سورس کد سیگنال وجود دارند یا که در فریم ورک محبوب Electron قرار گرفته اند.( Electron تکنولوژی است که در آن برنامه های دسکتاپ سیگنال قرار گرفته اند).
اگر که این آسیب پذیری در بخش Electron قرار گرفته باشد ممکن است بر روی برنامه های کاربردی دیگر دسکتاپ همانند اسکایپ، وردپرس و Slack که از یک فریم ورک مشابه استفاده می کنند، تاثیر بگذارد.
علاوه بر این آسیب پذیری بوجود آمده جامعه ی infosec را نگران کرده است زیرا این نقص به مجرمان اجازه می دهد تا بتوانند از راه دور کلیدهای رمزنگاری کاربران را به سرقت ببرند و این موضوع بدترین کابوس برای کاربران برنامه ی سیگنال خواهد بود.
اما خبر خوبی که در این رابطه وجود دارد این است که Open Whisper Systems فعلا این موضوع را رفع کرده است و بلافاصله پس از دریافت اطلاعات مربوط به آسیب پذیری نسخه های جدیدی از برنامه ی سیگنال را منتشر ساخته است.
آسیب پذیری ابتدایی که باعث می شود تا مجرمان بتوانند کدهای مخرب خود را اجرا کنند در نسخه ی ۱٫۱۰٫۱ برنامه ی سیگنال و نسخه ی سوم ۱٫۱۱٫۰ پچ شده است. از همین رو به کاربران توصیه می شود حتما برنامه ی سیگنال را آپدیت و آسیب پذیری ها را پچ کنند.
Ortega گفت: " ما هنوز مطمئن نیستیم که تمامس آسیب پذیری های بوجود آمده رفع و خطری وجود نداشته باشد".
منبع: کسپرسکی آنلاین(ایدکو)
کسپرسکی اسم یکی از بزرگترین شرکتهای امنیتی و سازنده آنتی ویروس است که برخی از کاربران اشتباهاً این شرکت و محصولات آنتی ویروس آن را با عناوینی نظیر کسپرسکای،کاسپرسکی، کسپراسکی، کسپراسکای، و یا کاسپراسکای نیز می‌شناسد. همچنین لازم به ذکر است مدیرعامل این شرکت نیز یوجین کسپرسکي نام دارد.
