زوم فار میک پیچ ڈرپوک "جاسوسی پر مجھے" بگ - ابھی اپ ڈیٹ کریں!

مقبول اور ہر جگہ (سافٹ ویئر ہمیشہ وہ دونوں چیزیں نہیں ہوتی ہیں!) کلاؤڈ میٹنگ کمپنی زوم نے حال ہی میں اپنے سافٹ ویئر کے میک ورژن میں ایک اوپس-جو نہیں سمجھا تھا-ہونے والا بگ کا اعلان کیا ہے۔

سیکورٹی بلیٹن، معافی کے ساتھ، عام طور پر کیڑے شکاریوں کے staccato اور jargon سے بھیگے انداز میں لکھا جاتا ہے، لیکن معنی کافی واضح ہے۔

بگ کی نشاندہی کی گئی ہے۔ CVE-2022-28762، اور اس میں تفصیلی ہے۔ زوم بلیٹن ZB-22023:

جب کچھ زوم ایپس چلا کر کیمرہ موڈ رینڈرنگ سیاق و سباق کو زوم ایپ لیئرز API کے حصے کے طور پر فعال کیا جاتا ہے، تو زوم کلائنٹ کے ذریعہ ایک مقامی ڈیبگنگ پورٹ کھولا جاتا ہے۔

آج آپ کہاں جانا پسند کریں گے؟

ایک "ڈیبگنگ پورٹ" عام طور پر سننے والے نیٹ ورک کنکشن سے مراد ہے، عام طور پر ایک TCP ساکٹ، جو ڈیبگنگ کی درخواستوں کو ہینڈل کرتا ہے۔

اسی طرح جس طرح ایک ای میل سرور عام طور پر TCP پورٹ 25 پر سنتا ہے، نیٹ ورک پر ریموٹ ای میل کلائنٹس کو "کال اِن" کرنے کا انتظار کرتا ہے اور آنے والے پیغامات کی فراہمی کے لیے اجازت کی درخواست کرتا ہے، ڈیبگنگ پورٹس اپنی پسند کی ایک بندرگاہ پر سنتے ہیں (اکثر قابل ترتیب، اگرچہ بعض اوقات صرف غیر دستاویزی طریقے سے) آنے والے کنکشنز کے لیے جو ڈیبگ کمانڈز جاری کرنا چاہتے ہیں۔

تاہم، ای میل سرور کے برعکس، جو پیغام کی ترسیل سے متعلق درخواستوں کو قبول کرتا ہے (مثال کے طور پر MAIL FROM اور RCPT TO)، ڈیبگنگ کنکشنز عام طور پر اس ایپ کے ساتھ بہت زیادہ گہرا تعامل فراہم کرتے ہیں جس سے آپ جڑ رہے ہیں۔

درحقیقت، ڈیبگنگ پورٹس عام طور پر آپ کو نہ صرف خود ایپ کی کنفیگریشن اور اندرونی حالت کے بارے میں معلوم کرنے کی اجازت دیتی ہیں، بلکہ ایپ کو براہ راست کمانڈز جاری کرنے کی بھی اجازت دیتی ہیں، بشمول سیکیورٹی سیپنگ کمانڈز جو کہ عام صارفین کے لیے دستیاب نہیں ہیں۔ باقاعدہ صارف انٹرفیس کے ذریعے۔

مثال کے طور پر، ایک ای میل سرور عام طور پر آپ کو اپنی پسند کے صارف نام کے لیے اس کے TCP پورٹ پر پیغام بھیجنے دیتا ہے، لیکن یہ آپ کو سرور کو دوبارہ ترتیب دینے والے کمانڈز بھیجنے نہیں دے گا، اور یہ آپ کو خفیہ معلومات نکالنے نہیں دے گا۔ جیسے سرور کے اعداد و شمار یا دوسرے لوگوں کے پیغامات۔

اس کے برعکس، یہ بالکل اسی قسم کی "خصوصیات" ہیں جن کی ڈیبگنگ پورٹس عام طور پر اجازت دیتی ہیں، تاکہ ڈویلپرز اپنے ایپ کے رویے کو موافقت اور نگرانی کر سکیں جب وہ مسائل کو حل کرنے کی کوشش کر رہے ہوں، بغیر باقاعدہ صارف انٹرفیس کے ذریعے جانے کی ضرورت۔

(آپ دیکھ سکتے ہیں کہ کسی ایپلیکیشن کی ہمت میں اس طرح کا "سائیڈ چینل" خاص طور پر اس وقت کارآمد ہوگا جب آپ خود یوزر انٹرفیس کو ڈیبگ کرنے کی کوشش کر رہے ہوں، یہ دیکھتے ہوئے کہ UI کو ڈیبگ کرنے کے لیے UI کو استعمال کرنے کا عمل تقریباً یقینی طور پر مداخلت کرے گا۔ اسی پیمائش کے ساتھ جو آپ بنانے کی کوشش کر رہے تھے۔)

خاص طور پر، ڈیبگنگ پورٹس عام طور پر آپ کو ایپ کا ایک طرح کا "اندرونی منظر" حاصل کرنے دیتے ہیں، جیسے: میموری کے ان حصوں میں جھانکنا جو عام طور پر ایپ کے صارفین کے سامنے نہیں آتے۔ ڈیٹا اسنیپ شاٹس کو پکڑنا جس میں خفیہ ڈیٹا جیسے پاس ورڈز اور رسائی ٹوکنز شامل ہو سکتے ہیں۔ اور صارف کو خبردار کیے بغیر آڈیو یا ویڈیو کیپچر کو متحرک کرنا…

سب کچھ پہلے ایپ یا سروس میں لاگ ان کیے بغیر۔

دوسرے لفظوں میں، ڈیبگنگ پورٹس ڈیولپمنٹ اور ٹیسٹنگ کے دوران استعمال کے لیے ایک ضروری برائی ہیں، لیکن ایپ کے باقاعدہ استعمال کے دوران ان کو چالو نہیں کیا جانا چاہیے، یا مثالی طور پر ان کو فعال نہیں کیا جانا چاہیے، کیونکہ ان کے متعارف کردہ واضح حفاظتی سوراخ ہیں۔

پاس ورڈ کی ضرورت نہیں ہے۔

ڈھیلے الفاظ میں، اگر آپ کو TCP پورٹ تک رسائی حاصل ہے جس پر ڈیبگر سن رہا ہے، اور آپ اس سے TCP کنکشن بنا سکتے ہیں، تو آپ کو ایپ پر قبضہ کرنے کے لیے بس اتنی ہی تصدیق کی ضرورت ہے۔

اور یہی وجہ ہے کہ ڈیبگنگ پورٹس کو عام طور پر صرف احتیاط سے کنٹرول شدہ حالات میں ہی فعال کیا جاتا ہے، جب آپ جانتے ہیں کہ آپ دراصل کسی ڈویلپر کو ایپلی کیشن کے اندر ہی گھومنے کے قابل ہونے کی اجازت دینا چاہتے ہیں، جو مؤثر طریقے سے غیر منظم اور ممکنہ طور پر خطرناک سپر پاور رسائی ہے۔

درحقیقت، بہت سے سافٹ ویئر پروڈکٹس کو جان بوجھ کر دو مختلف ذائقوں میں بنایا گیا ہے: ایک ڈیبگ بلڈ، جہاں چاہیں تو ڈیبگنگ کو آن کیا جا سکتا ہے، اور ایک ریلیز بلڈ جس میں ڈیبگنگ فیچرز کو یکسر چھوڑ دیا جاتا ہے تاکہ وہ بالکل بھی چالو نہ ہو سکیں، چاہے حادثہ یا ڈیزائن کے ذریعہ۔

گوگل کے اینڈرائیڈ فونز میں ایک ڈیبگ موڈ شامل ہے، جس کے ذریعے آپ USB کیبل لگا سکتے ہیں اور اپنے لیپ ٹاپ سے فون میں کھود سکتے ہیں (اگرچہ مکمل روٹ پاورز کے ساتھ نہیں) جسے ADB کہا جاتا ہے، مختصر کے لیے اینڈرائیڈ ڈیبگ برج۔ ڈیبگنگ کو بالکل فعال کرنے کے لیے، آپ کو پہلے پر کلک کرنے کی ضرورت ہے۔ ترتیبات > فون کے بارے میں > نمبر بنانا لگاتار سات بار (واقعی!)۔ اس کے بعد ہی ڈیبگنگ کو آن کرنے کا آپشن بھی مینو میں ظاہر ہوتا ہے، جہاں آپ اسے فعال کر سکتے ہیں۔ ترتیبات > نظام > اعلی درجے کی > ڈویلپر کے اختیارات > یوایسبی ڈیبنگ. پھر، جب آپ پلگ ان کرتے ہیں اور اپنے لیپ ٹاپ سے جڑنے کی کوشش کرتے ہیں، تو آپ کو فون پر ہی انتباہی پاپ اپ کے ذریعے کنکشن کی اجازت دینی ہوگی۔ آپ یقینی طور پر یہ جان بوجھ کر کر سکتے ہیں، اگر آپ کے پاس غیر مقفل فون تک جسمانی رسائی ہے، لیکن غلطی سے ایسا ہونے کا امکان نہیں ہے۔

اضافی سیکیورٹی کے لیے، ڈیبگنگ پورٹس اکثر سیٹ اپ کیے جاتے ہیں تاکہ وہ دوسرے کمپیوٹرز سے آنے والے کنکشنز کو قبول نہیں کریں گے (تکنیکی لحاظ سے، وہ صرف "لوکل ہوسٹ" انٹرفیس پر سنتے ہیں)۔

اس کا مطلب ہے کہ غلط طریقے سے فعال ڈیبگنگ انٹرفیس کا غلط استعمال کرنے کی کوشش کرنے والے حملہ آور کو پہلے آپ کے کمپیوٹر پر قدم جمانے کی ضرورت ہوگی، جیسے کہ کسی قسم کا پراکسی میلویئر جو خود انٹرنیٹ کے ذریعے کنکشن قبول کرتا ہے، اور پھر اپنے نیٹ ورک پیکٹ کو "لوکل ہوسٹ" نیٹ ورک انٹرفیس پر ریلے کرتا ہے۔

CVE-2022-28762 کے معاملے میں کسی قسم کی مقامی رسائی کی ضرورت کے باوجود، تاہم، زوم نے اس بگ کو CVSS "شدت کا سکور" 7.3/10 (73%) دیا، اور فوری درجہ بندی ہائی.

مقامی TCP نیٹ ورک کنکشنز کو عام طور پر صارف اور عمل کی حدود میں کام کرنے کے لیے ڈیزائن کیا گیا ہے، اس لیے کسی حملہ آور کو اس مسئلے کا غلط استعمال کرنے کے لیے آپ (یا بطور منتظم) لاگ ان ہونے کی ضرورت نہیں ہوگی - کوئی بھی عمل، یہاں تک کہ ایک بہت محدود پروگرام کے تحت چل رہا ہے۔ مہمان اکاؤنٹ، اپنی مرضی سے آپ کی جاسوسی کرنے کے قابل ہو سکتا ہے۔

مزید برآں، چونکہ ڈیبگنگ پورٹ کے ذریعے جاری کردہ سافٹ ویئر کمانڈز عام طور پر کسی ایپ کے ریگولر یوزر انٹرفیس سے آزادانہ طور پر کام کرتے ہیں، اس لیے آپ کو شاید کوئی سستی نشانیاں نظر نہیں آئیں گی کہ آپ کے زوم سیشن کو اس طرح ہائی جیک کر لیا گیا تھا۔

اگر کوئی حملہ آور زیادہ روایتی میک ریموٹ کنٹرول چینلز جیسے کہ اسکرین شیئرنگ (VNC) کے ذریعے ایپ کو ایکٹیویٹ کر رہا تھا، تو آپ کو کم از کم یہ موقع ملے گا کہ حملہ آور آپ کے ماؤس پوائنٹر کو ادھر ادھر لے جا رہا ہے، مینو بٹن پر کلک کر رہا ہے، یا ٹیکسٹ ٹائپ کر رہا ہے…

…لیکن ڈیبگنگ انٹرفیس کے ذریعے، جو کہ بنیادی طور پر جان بوجھ کر پیچھے کا دروازہ ہے، آپ شاید خوشی سے بے خبر ہوں گے (اور شاید اس کا پتہ لگانے سے بھی قاصر ہوں گے) کہ ایک حملہ آور آپ کے ویب کیم اور آپ کے مائیکروفون کا استعمال کرتے ہوئے، آپ کو بہت ذاتی طور پر جاسوسی کر رہا تھا۔

کیا کیا جائے؟

خوش قسمتی سے، زوم کی اپنی سیکیورٹی ٹیم نے اس بات کو دیکھا جو ہم فرض کر رہے ہیں کہ یہ ایک تعمیراتی غلطی تھی (ایک خصوصیت جو فعال رہ گئی ہے جسے دبایا جانا چاہیے تھا)، اور فوری طور پر بگی میک سافٹ ویئر کو اپ ڈیٹ کر دیا۔

اپنے macOS زوم کلائنٹ کو اپ ڈیٹ کریں۔ ورژن 5.12.0 یا بعد میں اور جب آپ زوم استعمال کریں گے تو ڈیبگنگ پورٹ بند رہے گی۔

میک پر، مین پر جائیں۔ zoom.us مینو اور منتخب کریں Check for Updates... یہ دیکھنے کے لیے کہ آیا آپ کے پاس تازہ ترین ورژن ہے۔

---