واٹس ایپ "زیرو ڈے ایکسپلائٹ" خبروں کا خوف – آپ کو کیا جاننے کی ضرورت ہے۔

پچھلے ایک دو دن سے، ہماری نیوز فیڈ واٹس ایپ کے بارے میں انتباہات سے گونج رہی ہے۔

ہم نے دو ٹویٹس سے منسلک بہت سی رپورٹس دیکھی ہیں جن میں واٹس ایپ میں دو صفر دن کے حفاظتی سوراخوں کی موجودگی کا دعویٰ کیا گیا ہے، ان کی بگ آئی ڈی CVE-2022-36934 اور CVE-2022-27492.

ایک مضمون، جو بظاہر ان ٹویٹس پر مبنی تھا، بے دھڑک اصرار کرتا تھا کہ یہ صفر دن کے کیڑے تھے، بلکہ یہ بھی کہ وہ اندرونی طور پر دریافت کیے گئے تھے اور خود WhatsApp ٹیم نے ان کو ٹھیک کیا تھا۔

تعریف کے مطابق، تاہم، a صفر دن ایک ایسے بگ سے مراد ہے جسے حملہ آوروں نے دریافت کیا اور پتہ لگایا کہ پیچ دستیاب ہونے سے پہلے اس کا استحصال کیسے کیا جائے، تاکہ ایسے صفر دن تھے جب سب سے زیادہ فعال سیسڈمین بھی پیچنگ کے لیے سب سے زیادہ ترقی پسند رویہ رکھنے والے کھیل سے آگے رہ سکتے تھے۔

دوسرے لفظوں میں، یہ بتانے کا پورا خیال کہ بگ ایک صفر دن ہے (اکثر صرف ایک ہندسے کے ساتھ لکھا جاتا ہے، جیسا کہ 0 دن) لوگوں کو اس بات پر قائل کرنا ہے کہ پیچ کم از کم ہمیشہ کی طرح اہم ہے، اور شاید اس سے زیادہ اہم ہے، کیونکہ پیچ کو انسٹال کرنا بدمعاشوں کو پکڑنے کا سوال ہے جو ان کے سامنے رکھنا ہے۔

اگر ڈویلپرز خود ہی کسی مسئلے کا پردہ فاش کرتے ہیں اور اپنی اگلی اپڈیٹ میں اسے اپنی مرضی سے پیچ کرتے ہیں، تو یہ صفر کا دن نہیں ہے، کیونکہ گڈ گائز سب سے پہلے وہاں پہنچے۔

اسی طرح، اگر سیکورٹی محققین کے اصول پر عمل کریں ذمہ دارانہ انکشاف، جہاں وہ ایک وینڈر کو ایک نئے بگ کی تفصیلات ظاہر کرتے ہیں لیکن بیچنے والے کو پیچ بنانے کے لیے وقت دینے کے لیے ان تفصیلات کو متفقہ مدت تک شائع نہ کرنے پر اتفاق کرتے ہیں، یہ صفر دن نہیں ہے۔

بگ کی تحریر شائع کرنے کے لیے ایک ذمہ دارانہ انکشاف کی آخری تاریخ مقرر کرنا دو مقاصد کو پورا کرتا ہے، یعنی محقق کو بالآخر اس کام کا کریڈٹ لینا پڑتا ہے، جب کہ دکاندار کو یہ جانتے ہوئے کہ اسے کسی بھی طرح ختم کر دیا جائے گا، اس مسئلے کو قالین کے نیچے صاف کرنے سے روک دیا جاتا ہے۔ آخر میں.

تو ، حقیقت کیا ہے؟

کیا واٹس ایپ اس وقت سائیر کرمنلز کے زیرِ اثر ہے؟ کیا یہ واضح اور موجودہ خطرہ ہے؟

واٹس ایپ صارفین کو کتنا پریشان ہونا چاہیے؟

اگر شک ہو تو ایڈوائزری سے رجوع کریں۔

جہاں تک ہم بتا سکتے ہیں، اس وقت گردش کرنے والی رپورٹس براہ راست واٹس ایپ کے اپنے 2022 کی معلومات پر مبنی ہیں۔ سیکورٹی ایڈوائزری صفحہجو کہتا ہے [2022-09-27T16:17:00Z]:

واٹس ایپ سیکیورٹی ایڈوائزریز 2022 اپ ڈیٹس ستمبر اپ ڈیٹ CVE-2022-36934 اینڈرائیڈ کے لیے واٹس ایپ میں v2.22.16.12 سے پہلے ایک انٹیجر اوور فلو، v2.22.16.12 سے پہلے Android کے لیے بزنس، v2.22.16.12 سے پہلے iOS، iOS کے لیے بزنس v2.22.16.12 سے پہلے ایک قائم شدہ ویڈیو کال میں ریموٹ کوڈ پر عمل درآمد ہو سکتا ہے۔ CVE-2022-27492 WhatsApp کے لیے Android میں v2.22.16.2 سے پہلے، WhatsApp کے لیے iOS v2.22.15.9 کے لیے ایک عدد انڈر فلو ایک تیار کردہ ویڈیو فائل موصول ہونے پر ریموٹ کوڈ کے نفاذ کا سبب بن سکتا ہے۔

دونوں کیڑے ممکنہ طور پر لے جانے والے کے طور پر درج ہیں۔ ریموٹ کوڈ پر عمل درآمد۔، یا مختصر میں RCE، مطلب یہ ہے کہ بوبی ٹریپڈ ڈیٹا ایپ کو کریش ہونے پر مجبور کر سکتا ہے، اور یہ کہ ایک ہنر مند حملہ آور راستے میں غیر مجاز رویے کو متحرک کرنے کے لیے کریش کے حالات میں دھاندلی کرنے کے قابل ہو سکتا ہے۔

عام طور پر، جب کوئی RCE ملوث ہوتا ہے، تو اس "غیر مجاز رویے" کا مطلب نقصان دہ پروگرام کوڈ، یا میلویئر چلانا ہے، تاکہ آپ کے آلے پر ریموٹ کنٹرول کی کسی شکل کو تبدیل کیا جا سکے۔

تفصیل سے، ہم فرض کرتے ہیں کہ پہلے بگ کو ٹرگر ہونے سے پہلے ایک منسلک کال کی ضرورت تھی، جب کہ دوسرا بگ ایسا لگتا ہے جیسے اسے کسی اور وقت ٹرگر کیا جا سکتا ہے، مثال کے طور پر کوئی پیغام پڑھتے ہوئے یا آپ کے آلے پر پہلے سے ڈاؤن لوڈ کی گئی فائل کو دیکھتے وقت۔ .

موبائل ایپس کو عام طور پر آپریٹنگ سسٹم کے ذریعے لیپ ٹاپس یا سرورز پر موجود ایپس کے مقابلے میں زیادہ سختی سے ریگولیٹ کیا جاتا ہے، جہاں مقامی فائلیں عام طور پر قابل رسائی ہوتی ہیں، اور عام طور پر متعدد پروگراموں کے درمیان شیئر کی جاتی ہیں۔

اس کے نتیجے میں، اس کا مطلب ہے کہ کسی ایک موبائل ایپ کا سمجھوتہ عام طور پر آپ کے لیپ ٹاپ پر اسی طرح کے میلویئر حملے سے کم خطرہ لاحق ہوتا ہے۔

آپ کے لیپ ٹاپ پر، مثال کے طور پر، آپ کا پوڈ کاسٹ پلیئر آپ کی دستاویزات کو بطور ڈیفالٹ جھانک سکتا ہے، چاہے ان میں سے کوئی بھی آڈیو فائل نہ ہو، اور آپ کا فوٹو پروگرام آپ کے اسپریڈشیٹ فولڈر میں (اور اس کے برعکس) میں شاید روٹ لگ سکتا ہے۔

تاہم، آپ کے موبائل ڈیوائس پر، ایپس کے درمیان عام طور پر بہت سخت علیحدگی ہوتی ہے، تاکہ کم از کم ڈیفالٹ طور پر، آپ کا پوڈ کاسٹ پلیئر دستاویزات نہیں دیکھ سکتا، آپ کا اسپریڈشیٹ پروگرام آپ کی تصاویر کو براؤز نہیں کر سکتا، اور آپ کی فوٹو ایپ نہیں دیکھ سکتی۔ آڈیو فائلیں یا دستاویزات دیکھیں۔

تاہم، یہاں تک کہ ایک "سینڈ باکسڈ" ایپ تک رسائی اور اس کے ڈیٹا تک وہ سب کچھ ہو سکتا ہے جو حملہ آور چاہتا ہے یا اس کی ضرورت ہے، خاص طور پر اگر وہی ایپ ہے جسے آپ اپنے ساتھیوں، دوستوں اور خاندان کے ساتھ محفوظ طریقے سے بات چیت کرنے کے لیے استعمال کرتے ہیں، جیسے WhatsApp۔

WhatsApp میلویئر جو آپ کے ماضی کے پیغامات پڑھ سکتا ہے، یا یہاں تک کہ صرف آپ کے رابطوں کی فہرست، اور کچھ بھی نہیں، آن لائن مجرموں کے لیے ڈیٹا کا خزانہ فراہم کر سکتا ہے، خاص طور پر اگر ان کا مقصد آپ اور آپ کے کاروبار کے بارے میں مزید جاننا ہے تاکہ اسے فروخت کیا جا سکے۔ ڈارک ویب پر دوسرے بدمعاشوں کے بارے میں اندرونی معلومات۔

ایک سافٹ ویئر بگ جو سائبر سیکیورٹی کے سوراخوں کو کھولتا ہے اسے a کہا جاتا ہے۔ خطرے کا سامنا، اور کوئی بھی حملہ جو کسی مخصوص خطرے کا عملی استعمال کرتا ہے اسے کہا جاتا ہے۔ استحصال.

اور WhatsApp میں کوئی بھی معلوم کمزوری جو جاسوسی کے مقاصد کے لیے استعمال کی جا سکتی ہے، جلد از جلد پیچ ​​کرنے کے قابل ہے، چاہے کوئی بھی ڈیٹا چوری کرنے یا میلویئر لگانے کے لیے کام کرنے والے استحصال کا پتہ نہ لگائے۔

(سبھی کمزوریاں RCE کے لیے فائدہ مند نہیں ہوتیں - کچھ کیڑے کافی حد تک دلکش نکلتے ہیں یہاں تک کہ اگر وہ قابل اعتماد طریقے سے حادثے کو بھڑکانے کے لیے متحرک ہوسکتے ہیں، یا سروس سے انکار، انہیں اتنی اچھی طرح سے قابو نہیں کیا جا سکتا کہ وہ کریش ہونے والی ایپ کو مکمل طور پر سنبھال لیں۔)

کیا کیا جائے؟

یہاں اچھی خبر یہ ہے کہ یہاں درج کیڑے بظاہر ایک مہینہ پہلے کے قریب تھے، حالانکہ تازہ ترین رپورٹس جو ہم نے دیکھی ہیں اس سے یہ ظاہر ہوتا ہے کہ یہ خامیاں واٹس ایپ صارفین کے لیے واضح اور موجودہ خطرے کی نمائندگی کرتی ہیں۔

جیسا کہ واٹس ایپ ایڈوائزری پیج بتاتا ہے، یہ دو نام نہاد "زیرو ڈے" ہولز ایپ کے تمام ذائقوں میں، اینڈرائیڈ اور آئی او ایس دونوں کے لیے، ورژن نمبروں کے ساتھ بنائے گئے ہیں۔ 2.22.16.12 یا بعد میں.

ایپل کے ایپ اسٹور کے مطابق، iOS کے لیے WhatsApp کا موجودہ ورژن (میسنجر اور کاروباری ذائقے دونوں) پہلے سے ہی موجود ہے۔ 2.22.19.78کے ساتھ، پہلی فکس کے بعد سے پانچ مداخلتی اپڈیٹس جاری کی گئی ہیں جس نے اوپر بیان کردہ بگس کو پیچ کیا ہے، جو پہلے ہی ایک ماہ پرانا ہے۔

گوگل پلے پر، واٹس ایپ پہلے سے ہی ہے۔ 2.22.19.76 (ورژن ہمیشہ مختلف آپریٹنگ سسٹم کے درمیان بالکل سیدھ میں نہیں ہوتا ہے، لیکن اکثر قریب ہوتا ہے)۔

دوسرے لفظوں میں، اگر آپ نے اپنے آلے کو آٹو اپ ڈیٹ پر سیٹ کیا ہے، تو آپ کو ان واٹس ایپ دھمکیوں کے خلاف تقریباً ایک ماہ سے پہلے ہی پیچ کیا جانا چاہیے۔

ان ایپس کو چیک کرنے کے لیے جنہیں آپ نے انسٹال کیا ہے، جب وہ آخری بار اپ ڈیٹ ہوں، اور ان کے ورژن کی تفصیلات، ppen کریں۔ اپلی کیشن سٹور iOS پر ایپ، یا سٹور کھیلیں Android پر.

اپنے آلہ پر انسٹال کردہ ایپس کی فہرست تک رسائی حاصل کرنے کے لیے اپنے اکاؤنٹ کے آئیکن پر تھپتھپائیں، بشمول ان کی تفصیلات جب وہ آخری بار اپ ڈیٹ ہوئیں اور موجودہ ورژن نمبر جو آپ کو ملا ہے۔

---