मैक पैच के लिए ज़ूम करें चुपके से "स्पाई-ऑन-मी" बग - अभी अपडेट करें!

लोकप्रिय और सर्वव्यापी (सॉफ्टवेयर हमेशा उन दोनों चीजों में से नहीं होता है!) क्लाउड मीटिंग कंपनी ज़ूम ने हाल ही में अपने सॉफ़्टवेयर के मैक संस्करण में एक उफ़-वह-नहीं-होने वाली बग की घोषणा की।

सुरक्षा बुलेटिन, क्षम्य रूप से, बग-शिकारी की आम तौर पर स्टैकाटो और शब्दजाल-भिगोने वाली शैली में लिखा गया है, लेकिन अर्थ काफी स्पष्ट है।

बग दर्शाया गया है CVE-2022-28762, और में विस्तृत है ज़ूम बुलेटिन ZB-22023:

जब कैमरा मोड रेंडरिंग प्रसंग कुछ ज़ूम ऐप चलाकर ज़ूम ऐप लेयर्स एपीआई के हिस्से के रूप में सक्षम किया जाता है, तो ज़ूम क्लाइंट द्वारा एक स्थानीय डिबगिंग पोर्ट खोला जाता है।

आज आप कहाँ जाना चाहेंगे?

एक "डिबगिंग पोर्ट" आमतौर पर एक सुनने वाले नेटवर्क कनेक्शन को संदर्भित करता है, आमतौर पर एक टीसीपी सॉकेट, जो डिबगिंग अनुरोधों को संभालता है।

उसी तरह जैसे एक ईमेल सर्वर आमतौर पर टीसीपी पोर्ट 25 पर सुनता है, नेटवर्क पर "कॉल इन" करने के लिए दूरस्थ ईमेल क्लाइंट की प्रतीक्षा करता है और आने वाले संदेशों को डिलीवर करने की अनुमति का अनुरोध करता है, डिबगिंग पोर्ट अपने स्वयं के पोर्ट पर सुनते हैं (अक्सर विन्यास योग्य, हालांकि कभी-कभी केवल एक अनियंत्रित तरीके से) आने वाले कनेक्शन के लिए जो डिबग कमांड जारी करना चाहते हैं।

हालांकि, एक ईमेल सर्वर के विपरीत, जो संदेश वितरण से संबंधित अनुरोधों को स्वीकार करता है (उदा MAIL FROM और RCPT TO), डिबगिंग कनेक्शन आमतौर पर आपके द्वारा कनेक्ट किए जा रहे ऐप के साथ अधिक अंतरंग प्रकार का इंटरैक्शन प्रदान करते हैं।

दरअसल, डिबगिंग पोर्ट आम तौर पर आपको न केवल ऐप के कॉन्फ़िगरेशन और आंतरिक स्थिति के बारे में पता लगाने की अनुमति देते हैं, बल्कि सीधे ऐप को कमांड जारी करने की अनुमति देते हैं, जिसमें सुरक्षा-सैपिंग कमांड शामिल हैं जो नियमित उपयोगकर्ताओं के लिए उपलब्ध नहीं हैं। नियमित यूजर इंटरफेस के माध्यम से।

एक ईमेल सर्वर, उदाहरण के लिए, आम तौर पर आपको अपनी पसंद के उपयोगकर्ता नाम के लिए इसके टीसीपी पोर्ट पर एक संदेश भेजने देगा, लेकिन यह आपको ऐसे आदेश नहीं भेजने देगा जो सर्वर को फिर से कॉन्फ़िगर करें, और यह आपको गुप्त जानकारी निकालने नहीं देगा। जैसे सर्वर आँकड़े या अन्य लोगों के संदेश।

इसके विपरीत, वे ठीक उसी तरह की "फीचर्स" हैं, जो डिबगिंग पोर्ट आमतौर पर अनुमति देते हैं, ताकि डेवलपर्स नियमित यूजर इंटरफेस के माध्यम से जाने की आवश्यकता के बिना, समस्याओं को ठीक करने का प्रयास करते समय अपने ऐप के व्यवहार को ट्विक और मॉनिटर कर सकें।

(आप देख सकते हैं कि किसी एप्लिकेशन की हिम्मत में इस तरह का "साइड-चैनल" विशेष रूप से तब उपयोगी होगा जब आप उपयोगकर्ता इंटरफ़ेस को स्वयं डीबग करने का प्रयास कर रहे हों, यह देखते हुए कि UI को डीबग करने के लिए UI का उपयोग करने का कार्य लगभग निश्चित रूप से हस्तक्षेप करेगा। आप जिस माप के साथ बनाने की कोशिश कर रहे थे।)

विशेष रूप से, डिबगिंग पोर्ट आमतौर पर आपको ऐप का एक प्रकार का "आंतरिक दृश्य" प्राप्त करने देता है, जैसे: मेमोरी के उन क्षेत्रों में झांकना जो आमतौर पर ऐप के उपयोगकर्ताओं के सामने कभी नहीं आएंगे; डेटा स्नैपशॉट को हथियाना जिसमें पासवर्ड और एक्सेस टोकन जैसे गोपनीय डेटा हो सकते हैं; और उपयोगकर्ता को सचेत किए बिना ऑडियो या वीडियो कैप्चर को ट्रिगर करना…

...सभी पहले ऐप या सेवा में लॉग इन किए बिना।

दूसरे शब्दों में, डिबगिंग पोर्ट विकास और परीक्षण के दौरान उपयोग के लिए एक आवश्यक बुराई हैं, लेकिन उन्हें सक्रिय नहीं होना चाहिए, या आदर्श रूप से सक्रिय होने के लिए भी, ऐप के नियमित उपयोग के दौरान, स्पष्ट सुरक्षा छेद के कारण वे पेश करते हैं।

पासवर्ड की जरूरत नहीं

संक्षेप में, यदि आपके पास टीसीपी पोर्ट तक पहुंच है जिस पर डीबगर सुन रहा है, और आप इसके लिए एक टीसीपी कनेक्शन बना सकते हैं, तो ऐप को संभालने के लिए आपको केवल प्रमाणीकरण की आवश्यकता है।

और इसीलिए डिबगिंग पोर्ट आमतौर पर केवल सावधानीपूर्वक नियंत्रित परिस्थितियों में ही सक्षम होते हैं, जब आप जानते हैं कि आप वास्तव में एक डेवलपर को एप्लिकेशन के अंदर घूमने में सक्षम होना चाहते हैं, जो प्रभावी रूप से अनियंत्रित और संभावित रूप से खतरनाक सुपरपावर एक्सेस का आनंद ले रहे हैं।

दरअसल, कई सॉफ्टवेयर उत्पाद जानबूझकर दो अलग-अलग फ्लेवर में बनाए जाते हैं: एक डिबग बिल्ड, जहां डिबगिंग को अगर वांछित किया जा सकता है, और एक रिलीज बिल्ड जिसमें डिबगिंग सुविधाओं को पूरी तरह से छोड़ दिया जाता है, तो उन्हें बिल्कुल भी सक्रिय नहीं किया जा सकता है, चाहे दुर्घटना या डिजाइन द्वारा।

Google के एंड्रॉइड फोन में एक डिबग मोड शामिल है, जिससे आप यूएसबी केबल में प्लग इन कर सकते हैं और अपने लैपटॉप से ​​एडीबी के रूप में जाना जाता है, के माध्यम से फोन में खुदाई कर सकते हैं (यद्यपि पूर्ण रूट शक्तियों के साथ नहीं)। एंड्रॉइड डीबग ब्रिज। डिबगिंग को बिल्कुल भी सक्षम करने के लिए, आपको सबसे पहले पर क्लिक करना होगा सेटिंग > फोन के बारे में > निर्माण संख्या लगातार सात बार (वास्तव में!) केवल तभी डिबगिंग चालू करने का विकल्प मेनू में दिखाई देता है, जहां आप इसे यहां सक्रिय कर सकते हैं सेटिंग > प्रणाली > उन्नत > डेवलपर विकल्प > यूएसबी डिबगिंग. फिर, जब आप प्लग इन करते हैं और अपने लैपटॉप से ​​​​कनेक्ट करने का प्रयास करते हैं, तो आपको फोन पर ही एक चेतावनी पॉपअप के माध्यम से कनेक्शन को अधिकृत करना होगा। आप निश्चित रूप से इसे उद्देश्य से कर सकते हैं, यदि आपके पास अनलॉक किए गए फोन तक भौतिक पहुंच है, लेकिन गलती से ऐसा होने की संभावना नहीं है।

अतिरिक्त सुरक्षा के लिए, डिबगिंग पोर्ट अक्सर सेट किए जाते हैं, इसलिए वे अन्य कंप्यूटरों से आने वाले कनेक्शन को स्वीकार नहीं करेंगे (तकनीकी शब्दों में, वे केवल "लोकलहोस्ट" इंटरफ़ेस पर सुनते हैं)।

इसका मतलब है कि एक हमलावर जो गलत तरीके से सक्षम डिबगिंग इंटरफ़ेस का दुरुपयोग करना चाहता है, उसे पहले आपके कंप्यूटर पर एक पैर जमाने की आवश्यकता होगी, जैसे कि किसी प्रकार का प्रॉक्सी मैलवेयर जो स्वयं इंटरनेट के माध्यम से कनेक्शन स्वीकार करता है, और फिर अपने नेटवर्क पैकेट को "लोकलहोस्ट" नेटवर्क इंटरफ़ेस से रिले करता है।

CVE-2022-28762 के मामले में किसी प्रकार की स्थानीय पहुंच की आवश्यकता के बावजूद, ज़ूम ने इस बग को 7.3/10 (73%) का सीवीएसएस "गंभीरता स्कोर" और तत्काल रेटिंग दी हाई.

स्थानीय टीसीपी नेटवर्क कनेक्शन आम तौर पर उपयोगकर्ता और प्रक्रिया सीमाओं में काम करने के लिए डिज़ाइन किए गए हैं, इसलिए इस बग का दुरुपयोग करने के लिए एक हमलावर को आपके (या एक व्यवस्थापक के रूप में) लॉग इन करने की आवश्यकता नहीं होगी - कोई भी प्रक्रिया, यहां तक ​​​​कि एक प्रोग्राम भी बहुत सीमित के तहत चल रहा है अतिथि खाता, आपकी इच्छानुसार जासूसी करने में सक्षम हो सकता है।

इसके अलावा, क्योंकि डिबगिंग पोर्ट के माध्यम से जारी किए गए सॉफ़्टवेयर कमांड आमतौर पर ऐप के नियमित उपयोगकर्ता इंटरफ़ेस से स्वतंत्र रूप से काम करते हैं, आपको शायद कोई सस्ता संकेत नहीं दिखाई देगा कि आपके ज़ूम सत्र को इस तरह से हाईजैक कर लिया गया था।

यदि कोई हमलावर स्क्रीन शेयरिंग (वीएनसी) जैसे अधिक पारंपरिक मैक रिमोट कंट्रोल चैनलों के माध्यम से ऐप को सक्रिय कर रहा था, तो आपको कम से कम हमलावर को अपने माउस पॉइंटर को इधर-उधर ले जाने, मेनू बटन पर क्लिक करने या टेक्स्ट टाइप करने का मौका मिलेगा ...

लेकिन एक डिबगिंग इंटरफ़ेस के माध्यम से, जो अनिवार्य रूप से एक जानबूझकर पिछला दरवाजा है, आप आनंद से अनजान हो सकते हैं (और शायद यह पता लगाने में भी असमर्थ हैं) कि एक हमलावर आपके वेबकैम और आपके माइक्रोफ़ोन का उपयोग करके व्यक्तिगत रूप से आपकी जासूसी कर रहा था।

क्या करना है?

सौभाग्य से, ज़ूम की अपनी सुरक्षा टीम ने देखा कि हम जो मान रहे हैं वह एक बिल्ड-टाइम ब्लंडर था (एक सुविधा जो सक्षम छोड़ दी गई थी जिसे दबा दिया जाना चाहिए था), और तुरंत बग्गी मैक सॉफ़्टवेयर को अपडेट किया।

अपने macOS ज़ूम क्लाइंट में अपडेट करें संस्करण 5.12.0 या बाद में और जब आप ज़ूम का उपयोग करेंगे तो डिबगिंग पोर्ट बंद रहेगा।

Mac पर, मुख्य पर जाएँ zoom.us मेनू और चुनें Check for Updates... यह देखने के लिए कि क्या आपके पास नवीनतम संस्करण है।

---