व्हाट्सएप "शून्य-दिन का शोषण" समाचार डराता है - आपको क्या जानना चाहिए

पिछले एक-दो दिनों से हमारा न्यूज फीड व्हाट्सएप को लेकर चेतावनियों से गुलजार है।

हमने दो ट्वीट्स से जुड़ी कई रिपोर्टें देखीं, जिनमें व्हाट्सएप में दो जीरो-डे सिक्योरिटी होल होने का दावा किया गया था, जिसमें उनकी बग आईडी दी गई थी CVE-2022-36934 और CVE-2022-27492.

एक लेख, जाहिरा तौर पर उन ट्वीट्स पर आधारित, ने न केवल इस बात पर जोर दिया कि ये जीरो-डे बग्स थे, बल्कि यह भी कि वे आंतरिक रूप से खोजे गए थे और व्हाट्सएप टीम द्वारा ही ठीक किए गए थे।

परिभाषा के अनुसार, तथापि, a जीरो-डे एक बग को संदर्भित करता है जिसे हमलावरों ने खोजा और पता लगाया कि पैच उपलब्ध होने से पहले कैसे शोषण किया जाए, ताकि शून्य दिन हों, जिस पर पैचिंग के लिए सबसे प्रगतिशील दृष्टिकोण वाला सबसे सक्रिय सिसडमिन भी खेल से आगे हो सकता था।

दूसरे शब्दों में, यह बताने का पूरा विचार कि एक बग एक शून्य-दिन है (अक्सर केवल एक अंक के साथ लिखा जाता है, जैसा कि 0 दिन) लोगों को यह समझाने के लिए है कि पैच कम से कम हमेशा की तरह महत्वपूर्ण है, और शायद उससे भी अधिक महत्वपूर्ण है, क्योंकि पैच को स्थापित करना बदमाशों के साथ पकड़ने का सवाल है, जो कि उनके सामने है।

यदि डेवलपर्स स्वयं एक बग को उजागर करते हैं और अपने अगले अपडेट में इसे अपने हिसाब से पैच करते हैं, तो यह शून्य-दिन नहीं है, क्योंकि अच्छे लोग पहले वहां पहुंचे।

इसी तरह, यदि सुरक्षा शोधकर्ता के सिद्धांत का पालन करते हैं जिम्मेदार प्रकटीकरण, जहां वे एक विक्रेता को एक नए बग का विवरण प्रकट करते हैं, लेकिन सहमत समय के लिए उन विवरणों को प्रकाशित नहीं करने के लिए सहमत होते हैं ताकि विक्रेता को पैच बनाने के लिए समय दिया जा सके, यह शून्य-दिन नहीं है।

बग के राइटअप को प्रकाशित करने के लिए एक जिम्मेदार प्रकटीकरण समय सीमा निर्धारित करने से दो उद्देश्यों की पूर्ति होती है, अर्थात् शोधकर्ता को अंततः काम का श्रेय लेना पड़ता है, जबकि विक्रेता को कालीन के नीचे इस मुद्दे को व्यापक करने से रोका जाता है, यह जानते हुए कि यह वैसे भी बाहर हो जाएगा अंततः।

तो, सच क्या है?

क्या व्हाट्सएप वर्तमान में साइबर अपराधियों द्वारा सक्रिय हमले में है? क्या यह एक स्पष्ट और वर्तमान खतरा है?

व्हाट्सएप यूजर्स को कितना चिंतित होना चाहिए?

यदि संदेह है, तो सलाहकार से परामर्श लें

जहां तक ​​हम बता सकते हैं, इस समय प्रसारित होने वाली रिपोर्ट्स सीधे व्हाट्सएप के अपने 2022 . की जानकारी पर आधारित हैं सुरक्षा सलाहकार पृष्ठ, जो कहता है [2022-09-27टी16:17:00जेड]:

WhatsApp सुरक्षा सलाह 2022 अपडेट सितंबर अपडेट CVE-2022-36934 v2.22.16.12 से पहले Android के लिए WhatsApp में एक पूर्णांक ओवरफ़्लो, v2.22.16.12 से पहले Android के लिए व्यवसाय, v2.22.16.12 से पहले iOS, iOS के लिए व्यवसाय v2.22.16.12 से पहले स्थापित वीडियो कॉल में रिमोट कोड निष्पादन हो सकता है। CVE-2022-27492 v2.22.16.2 से पहले Android के लिए WhatsApp में एक पूर्णांक अंडरफ़्लो, iOS v2.22.15.9 के लिए WhatsApp, तैयार की गई वीडियो फ़ाइल प्राप्त करते समय रिमोट कोड निष्पादन का कारण हो सकता है।

दोनों बग संभावित रूप से सूचीबद्ध हैं रिमोट कोड निष्पादन, या संक्षेप में आरसीई, जिसका अर्थ है कि बूबी-ट्रैप्ड डेटा ऐप को क्रैश करने के लिए मजबूर कर सकता है, और यह कि एक कुशल हमलावर दुर्घटना की परिस्थितियों में गड़बड़ी करने में सक्षम हो सकता है ताकि रास्ते में अनधिकृत व्यवहार को ट्रिगर किया जा सके।

आमतौर पर, जब कोई आरसीई शामिल होता है, तो उस "अनधिकृत व्यवहार" का अर्थ है दुर्भावनापूर्ण प्रोग्राम कोड, या मैलवेयर चलाना, जो आपके डिवाइस पर रिमोट कंट्रोल का कुछ रूप ले लेता है।

विवरण से, हम मानते हैं कि पहली बग को ट्रिगर होने से पहले एक कनेक्टेड कॉल की आवश्यकता होती है, जबकि दूसरी बग ऐसा लगता है जैसे इसे दूसरी बार ट्रिगर किया जा सकता है, उदाहरण के लिए एक संदेश पढ़ते समय या आपके डिवाइस पर पहले से डाउनलोड की गई फ़ाइल को देखते समय .

मोबाइल ऐप को आमतौर पर लैपटॉप या सर्वर पर ऐप की तुलना में ऑपरेटिंग सिस्टम द्वारा अधिक सख्ती से नियंत्रित किया जाता है, जहां स्थानीय फाइलें आमतौर पर कई प्रोग्रामों के बीच पहुंच योग्य और साझा की जाती हैं।

इसका, बदले में, इसका अर्थ है कि किसी एकल मोबाइल ऐप के साथ समझौता करना आमतौर पर आपके लैपटॉप पर समान मैलवेयर हमले की तुलना में कम जोखिम वाला होता है।

उदाहरण के लिए, आपके लैपटॉप पर, आपका पॉडकास्ट प्लेयर डिफ़ॉल्ट रूप से आपके दस्तावेज़ों को देख सकता है, भले ही उनमें से कोई भी ऑडियो फ़ाइल न हो, और आपका फ़ोटो प्रोग्राम संभवतः आपके स्प्रेडशीट फ़ोल्डर (और इसके विपरीत) में जड़ हो सकता है।

हालांकि, आपके मोबाइल डिवाइस पर ऐप्स के बीच बहुत सख्त अलगाव होता है, ताकि डिफ़ॉल्ट रूप से आपका पॉडकास्ट प्लेयर दस्तावेज़ न देख सके, आपका स्प्रैडशीट प्रोग्राम आपकी तस्वीरों को ब्राउज़ नहीं कर सकता है, और आपका फोटो ऐप नहीं देख सकता है। ऑडियो फ़ाइलें या दस्तावेज़ देखें।

हालांकि, यहां तक ​​​​कि एक "सैंडबॉक्स" ऐप तक पहुंच और उसका डेटा वह सब कुछ हो सकता है जो एक हमलावर चाहता है या जरूरत है, खासकर यदि वह ऐप वह है जिसका उपयोग आप अपने सहयोगियों, दोस्तों और परिवार के साथ व्हाट्सएप जैसे सुरक्षित रूप से संचार करने के लिए करते हैं।

व्हाट्सएप मैलवेयर जो आपके पिछले संदेशों को पढ़ सकता है, या यहां तक ​​​​कि सिर्फ आपके संपर्कों की सूची, और कुछ भी नहीं, ऑनलाइन अपराधियों के लिए डेटा का खजाना प्रदान कर सकता है, खासकर यदि उनका लक्ष्य आपके और आपके व्यवसाय के बारे में अधिक जानना है ताकि इसे बेचा जा सके। डार्क वेब पर अन्य बदमाशों को अंदर की जानकारी।

एक सॉफ़्टवेयर बग जो साइबर सुरक्षा छेद खोलता है, उसे एक के रूप में जाना जाता है भेद्यता, और कोई भी हमला जो किसी विशिष्ट भेद्यता का व्यावहारिक उपयोग करता है उसे an . के रूप में जाना जाता है शोषण करना.

और व्हाट्सएप में कोई भी ज्ञात भेद्यता जो स्नूपिंग उद्देश्यों के लिए शोषक हो सकती है, जितनी जल्दी हो सके पैचिंग के लायक है, भले ही कोई भी डेटा चोरी करने या मैलवेयर लगाने के लिए काम करने वाले शोषण का पता न लगाए।

(सभी कमजोरियां आरसीई के लिए शोषक नहीं होती हैं - कुछ बग पर्याप्त रूप से शालीन हो जाते हैं कि भले ही उन्हें दुर्घटना को भड़काने के लिए विश्वसनीय रूप से ट्रिगर किया जा सकता है, या सेवा से वंचित करना, क्रैश किए गए ऐप को पूरी तरह से संभालने के लिए उन्हें पर्याप्त रूप से वश में नहीं किया जा सकता है।)

क्या करना है?

यहां अच्छी खबर यह है कि यहां सूचीबद्ध बग्स को स्पष्ट रूप से एक महीने पहले ठीक किया गया था, भले ही हमने जो नवीनतम रिपोर्टें देखी हैं, उनका मतलब यह है कि ये खामियां व्हाट्सएप उपयोगकर्ताओं के लिए एक स्पष्ट और वर्तमान खतरे का प्रतिनिधित्व करती हैं।

जैसा कि व्हाट्सएप एडवाइजरी पेज बताता है, ये दो तथाकथित "जीरो-डे" होल ऐप के सभी फ्लेवर में पैच किए गए हैं, एंड्रॉइड और आईओएस दोनों के लिए, वर्जन नंबरों के साथ 2.22.16.12 या बाद का संस्करण.

ऐप्पल के ऐप स्टोर के अनुसार, आईओएस के लिए व्हाट्सएप का वर्तमान संस्करण (मैसेंजर और बिजनेस फ्लेवर दोनों) पहले से ही है 2.22.19.78, पहले फिक्स के बाद से पांच मध्यवर्ती अपडेट जारी किए गए, जिसने उपर्युक्त बग्स को पैच किया, जो पहले से ही एक महीने पहले का है।

Google Play पर, WhatsApp पहले से ही है 2.22.19.76 (संस्करण हमेशा अलग-अलग ऑपरेटिंग सिस्टम के बीच बिल्कुल संरेखित नहीं होते हैं, लेकिन अक्सर करीब होते हैं)।

दूसरे शब्दों में, यदि आपने अपने डिवाइस को ऑटोअपडेट पर सेट किया है, तो आपको इन व्हाट्सएप खतरों के खिलाफ लगभग एक महीने पहले ही पैच कर दिया जाना चाहिए था।

आपके द्वारा इंस्टॉल किए गए ऐप्स की जांच करने के लिए, जब वे अंतिम बार अपडेट हुए थे, और उनके संस्करण के विवरण, पीपीई करें ऐप स्टोर आईओएस पर ऐप, या प्ले स्टोर एंड्रॉयड पर।

अपने डिवाइस पर आपके द्वारा इंस्टॉल किए गए ऐप्स की सूची तक पहुंचने के लिए अपने खाता आइकन पर टैप करें, जिसमें यह विवरण शामिल है कि वे पिछली बार कब अपडेट हुए थे और आपको वर्तमान संस्करण संख्या मिली थी।

---