ম্যাক প্যাচের জন্য জুম স্নিকি "স্পাই-অন-মি" বাগ - এখনই আপডেট করুন!

জনপ্রিয় এবং সর্বব্যাপী (সফ্টওয়্যার সর্বদা এই দুটি জিনিসই নয়!) ক্লাউড মিটিং কোম্পানি জুম সম্প্রতি তার সফ্টওয়্যারটির ম্যাক সংস্করণে একটি উফ-যেটি-অনুমিত-টু-হবে-বাগ ঘোষণা করেছে।

নিরাপত্তা বুলেটিন, ক্ষমার যোগ্যভাবে, বাগ-হান্টারদের সাধারণত স্ট্যাকাটো এবং জার্গন-ভেজা শৈলীতে লেখা, কিন্তু অর্থ মোটামুটি পরিষ্কার।

বাগ চিহ্নিত করা হয় জন্য CVE-2022-28762, এবং বিস্তারিত আছে জুম বুলেটিন ZB-22023:

যখন ক্যামেরা মোড রেন্ডারিং প্রসঙ্গ কিছু জুম অ্যাপস চালানোর মাধ্যমে জুম অ্যাপ লেয়ার API-এর অংশ হিসেবে সক্রিয় করা হয়, তখন জুম ক্লায়েন্ট দ্বারা একটি স্থানীয় ডিবাগিং পোর্ট খোলা হয়।

আপনি আজ কোথায় যেতে চান?

একটি "ডিবাগিং পোর্ট" সাধারণত একটি শোনার নেটওয়ার্ক সংযোগকে বোঝায়, সাধারণত একটি TCP সকেট, যা ডিবাগিং অনুরোধগুলি পরিচালনা করে।

যেভাবে একটি ইমেল সার্ভার সাধারণত TCP পোর্ট 25-এ শোনে, দূরবর্তী ইমেল ক্লায়েন্টদের নেটওয়ার্কে "কল ইন" করার জন্য অপেক্ষা করে এবং ইনকামিং মেসেজ ডেলিভারির অনুমতির অনুরোধ করে, ডিবাগিং পোর্টগুলি তাদের নিজস্ব পছন্দের পোর্টে শোনে (প্রায়শই কনফিগার করা যায়, যদিও কখনও কখনও শুধুমাত্র একটি অনথিভুক্ত উপায়ে) আগত সংযোগগুলির জন্য যা ডিবাগ কমান্ড ইস্যু করতে চায়।

একটি ইমেল সার্ভারের বিপরীতে, যাইহোক, যা বার্তা বিতরণ সম্পর্কিত অনুরোধগুলি গ্রহণ করে (যেমন MAIL FROM এবং RCPT TO), ডিবাগিং সংযোগগুলি সাধারণত আপনি যে অ্যাপের সাথে সংযোগ করছেন তার সাথে অনেক বেশি ঘনিষ্ঠ ধরণের মিথস্ক্রিয়া প্রদান করে৷

প্রকৃতপক্ষে, ডিবাগিং পোর্টগুলি আপনাকে কেবল অ্যাপের কনফিগারেশন এবং অভ্যন্তরীণ অবস্থা সম্পর্কেই খুঁজে বের করতে দেয় না, বরং নিয়মিত ব্যবহারকারীদের জন্য উপলব্ধ নয় এমন নিরাপত্তা-স্যাপিং কমান্ডগুলি সহ সরাসরি অ্যাপে কমান্ড জারি করতে দেয়। নিয়মিত ইউজার ইন্টারফেসের মাধ্যমে।

উদাহরণস্বরূপ, একটি ইমেল সার্ভার আপনাকে সাধারণত আপনার পছন্দের একটি ব্যবহারকারীর নামের জন্য তার TCP পোর্টে একটি বার্তা পাঠাতে দেবে, কিন্তু এটি আপনাকে এমন কমান্ড পাঠাতে দেবে না যা সার্ভারকে পুনরায় কনফিগার করতে পারে এবং এটি আপনাকে গোপন তথ্য বের করতে দেবে না। যেমন সার্ভার পরিসংখ্যান বা অন্যান্য লোকের বার্তা।

বিপরীতে, এগুলি ঠিক সেই ধরণের "বৈশিষ্ট্যগুলি" যা ডিবাগিং পোর্টগুলি সাধারণত অনুমতি দেয়, যাতে বিকাশকারীরা নিয়মিত ব্যবহারকারী ইন্টারফেসের মাধ্যমে যাওয়ার প্রয়োজন ছাড়াই সমস্যাগুলি সমাধান করার চেষ্টা করার সময় তাদের অ্যাপের আচরণকে টুইক এবং নিরীক্ষণ করতে পারে।

(আপনি দেখতে পাচ্ছেন কিভাবে একটি অ্যাপ্লিকেশনের সাহসে এই ধরণের "সাইড-চ্যানেল" বিশেষত কার্যকর হবে যখন আপনি নিজেই ব্যবহারকারী ইন্টারফেস ডিবাগ করার চেষ্টা করছেন, এই কারণে যে UI ডিবাগ করার জন্য UI ব্যবহার করার কাজটি প্রায় অবশ্যই হস্তক্ষেপ করবে। আপনি যে পরিমাপ করার চেষ্টা করছেন তার সাথে।)

উল্লেখযোগ্যভাবে, ডিবাগিং পোর্টগুলি সাধারণত আপনাকে অ্যাপের একটি "অভ্যন্তরীণ ভিউ" পেতে দেয়, যেমন: মেমরির এমন জায়গাগুলিতে উঁকি দেওয়া যা সাধারণত অ্যাপ ব্যবহারকারীদের কাছে প্রকাশ করা হয় না; পাসওয়ার্ড এবং অ্যাক্সেস টোকেনের মতো গোপনীয় ডেটা থাকতে পারে এমন ডেটা স্ন্যাপশট দখল করা; এবং ব্যবহারকারীকে সতর্ক না করেই অডিও বা ভিডিও ক্যাপচার ট্রিগার করে...

…প্রথম স্থানে অ্যাপ বা পরিষেবাতে লগ ইন না করেই।

অন্য কথায়, ডিবাগিং পোর্টগুলি ডেভেলপমেন্ট এবং পরীক্ষার সময় ব্যবহারের জন্য একটি প্রয়োজনীয় মন্দ, কিন্তু তারা যে সুস্পষ্ট নিরাপত্তা গর্তগুলি প্রবর্তন করে তার কারণে অ্যাপের নিয়মিত ব্যবহারের সময় সেগুলি সক্রিয় হওয়ার কথা নয়, বা আদর্শভাবে এমনকি সক্রিয় হওয়ার কথা নয়৷

কোন পাসওয়ার্ড প্রয়োজন নেই

ঢিলেঢালাভাবে বলতে গেলে, আপনি যদি টিসিপি পোর্টে অ্যাক্সেস পেয়ে থাকেন যেখানে ডিবাগার শুনছে এবং আপনি এটির সাথে একটি টিসিপি সংযোগ তৈরি করতে পারেন, তাহলে অ্যাপটি গ্রহণ করার জন্য আপনার প্রয়োজনীয় সমস্ত প্রমাণীকরণ।

এবং সেই কারণেই ডিবাগিং পোর্টগুলি সাধারণত শুধুমাত্র সাবধানে নিয়ন্ত্রিত পরিস্থিতিতে সক্ষম করা হয়, যখন আপনি জানেন যে আপনি আসলে একজন ডেভেলপারকে অ্যাপ্লিকেশনের ভিতরে ঘুরে বেড়ানোর অনুমতি দিতে চান, যা কার্যকরভাবে অনিয়ন্ত্রিত এবং সম্ভাব্য বিপজ্জনক সুপার পাওয়ার অ্যাক্সেস উপভোগ করে৷

প্রকৃতপক্ষে, অনেক সফ্টওয়্যার পণ্য ইচ্ছাকৃতভাবে দুটি ভিন্ন স্বাদে তৈরি করা হয়: একটি ডিবাগ বিল্ড, যেখানে ইচ্ছা হলে ডিবাগিং চালু করা যেতে পারে, এবং একটি রিলিজ বিল্ড যাতে ডিবাগিং বৈশিষ্ট্যগুলি সম্পূর্ণরূপে বাদ দেওয়া হয় যাতে সেগুলি একেবারেই সক্রিয় করা যায় না, দুর্ঘটনা বা নকশা দ্বারা।

গুগলের অ্যান্ড্রয়েড ফোনে একটি ডিবাগ মোড রয়েছে, যার মাধ্যমে আপনি একটি USB কেবল প্লাগ ইন করতে পারেন এবং আপনার ল্যাপটপ থেকে ADB নামে পরিচিত এর মাধ্যমে ফোনে (যদিও সম্পূর্ণ রুট ক্ষমতা না থাকলেও) খনন করতে পারেন। অ্যান্ড্রয়েড ডিবাগ ব্রিজ। সম্পূর্ণরূপে ডিবাগিং সক্ষম করতে, আপনাকে প্রথমে ক্লিক করতে হবে সেটিংস > দূরালাপন সম্পর্কে > সংখ্যা তৈরি করুন এক সারিতে সাত বার (সত্যিই!) শুধুমাত্র তখনই ডিবাগিং চালু করার বিকল্পটি এমনকি মেনুতে উপস্থিত হয়, যেখানে আপনি এটি সক্রিয় করতে পারেন সেটিংস > পদ্ধতি > অগ্রসর > বিকাশকারী বিকল্প > ইউএসবি ডিবাগিং. তারপর, আপনি যখন প্লাগ ইন করেন এবং আপনার ল্যাপটপ থেকে সংযোগ করার চেষ্টা করেন, তখন আপনাকে ফোনেই একটি সতর্কীকরণ পপআপের মাধ্যমে সংযোগটি অনুমোদন করতে হবে৷ আপনি অবশ্যই উদ্দেশ্যমূলকভাবে এটি করতে পারেন, যদি আপনার কাছে একটি আনলক করা ফোনে শারীরিক অ্যাক্সেস থাকে তবে এটি ভুলবশত হওয়ার সম্ভাবনা কম।

অতিরিক্ত নিরাপত্তার জন্য, ডিবাগিং পোর্টগুলি প্রায়শই সেট আপ করা হয় তাই তারা অন্য কম্পিউটার থেকে আসা সংযোগগুলি গ্রহণ করবে না (প্রযুক্তিগত ভাষায়, তারা শুধুমাত্র "লোকালহোস্ট" ইন্টারফেসে শোনে)।

এর অর্থ হল একটি ভুলভাবে সক্ষম ডিবাগিং ইন্টারফেসের অপব্যবহার করতে চাওয়া একজন আক্রমণকারীর প্রথমে আপনার কম্পিউটারে একটি পা রাখা দরকার, যেমন কিছু ধরণের প্রক্সি ম্যালওয়্যার যা নিজেই ইন্টারনেটের মাধ্যমে সংযোগ গ্রহণ করে এবং তারপর তার নেটওয়ার্ক প্যাকেটগুলিকে "লোকালহোস্ট" নেটওয়ার্ক ইন্টারফেসে রিলে করে৷

CVE-2022-28762-এর ক্ষেত্রে কিছু ধরণের স্থানীয় অ্যাক্সেসের প্রয়োজনীয়তা থাকা সত্ত্বেও, জুম এই বাগটিকে 7.3/10 (73%) এর একটি CVSS "তীব্রতা স্কোর" এবং একটি জরুরি রেটিং দিয়েছে উচ্চ.

স্থানীয় TCP নেটওয়ার্ক সংযোগগুলি সাধারণত ব্যবহারকারী এবং প্রক্রিয়া সীমানা জুড়ে কাজ করার জন্য ডিজাইন করা হয়, তাই এই বাগ অপব্যবহার করার জন্য আক্রমণকারীকে আপনার (বা একজন প্রশাসক হিসাবে) লগ ইন করার প্রয়োজন হবে না – যে কোনও প্রক্রিয়া, এমনকি একটি খুব সীমিত অধীনে চলমান একটি প্রোগ্রাম গেস্ট অ্যাকাউন্ট, ইচ্ছামত আপনার উপর গুপ্তচর করতে সক্ষম হতে পারে.

তদ্ব্যতীত, যেহেতু একটি ডিবাগিং পোর্টের মাধ্যমে জারি করা সফ্টওয়্যার কমান্ডগুলি সাধারণত একটি অ্যাপের নিয়মিত ব্যবহারকারী ইন্টারফেস থেকে স্বাধীনভাবে কাজ করে, তাই আপনি সম্ভবত কোনও উপহারের লক্ষণ দেখতে পাবেন না যে আপনার জুম সেশনটি এভাবে হাইজ্যাক করা হয়েছে।

যদি একজন আক্রমণকারী আরো প্রচলিত ম্যাক রিমোট কন্ট্রোল চ্যানেল যেমন স্ক্রিন শেয়ারিং (VNC) এর মাধ্যমে অ্যাপটি সক্রিয় করে থাকে, তাহলে আপনার অন্ততপক্ষে আক্রমণকারীকে আপনার মাউস পয়েন্টার ঘুরিয়ে, মেনু বোতামে ক্লিক করা বা টেক্সটে টাইপ করার সুযোগ থাকবে...

…কিন্তু একটি ডিবাগিং ইন্টারফেসের মাধ্যমে, যা মূলত একটি ইচ্ছাকৃত পিছনের দরজা, আপনি হয়ত আনন্দের সাথে অজ্ঞাত (এবং সম্ভবত সনাক্ত করতেও অক্ষম) যে একজন আক্রমণকারী আপনার ওয়েবক্যাম এবং আপনার মাইক্রোফোন ব্যবহার করে আপনার উপর খুব ব্যক্তিগতভাবে স্নুপিং করছে।

কি করো?

সৌভাগ্যবশত, জুমের নিজস্ব নিরাপত্তা দল শনাক্ত করেছে যে আমরা যা ধরে নিচ্ছি এটি একটি বিল্ড-টাইম ভুল ছিল (একটি বৈশিষ্ট্য যা সক্ষম করে রাখা উচিত ছিল তা দমন করা উচিত ছিল), এবং তাৎক্ষণিকভাবে বগি ম্যাক সফ্টওয়্যারটি আপডেট করে।

আপনার macOS জুম ক্লায়েন্টে আপডেট করুন সংস্করণ 5.12.0 বা তার পরে এবং আপনি যখন জুম ব্যবহার করবেন তখন ডিবাগিং পোর্ট বন্ধ থাকবে।

একটি Mac এ, প্রধান যান zoom.us মেনু এবং নির্বাচন করুন Check for Updates... আপনি সর্বশেষ সংস্করণ পেয়েছেন কিনা তা দেখতে।

---