ইমেজ ফিল্টার কার্যকারিতা সম্পর্কিত হোয়াটসঅ্যাপ প্যাচ দুর্বলতা

চেক পয়েন্ট রিসার্চ জনপ্রিয় মেসেজিং প্ল্যাটফর্ম হোয়াটসঅ্যাপে একটি দুর্বলতা আবিষ্কারের ঘোষণা দিয়েছে যা হামলাকারীদের হোয়াটসঅ্যাপের মেমরি থেকে সংবেদনশীল তথ্য পড়তে দেয়। ইমেজ ফিল্টার কার্যকারিতা

হোয়াটসঅ্যাপ বিষয়টি স্বীকার করেছে এবং ফেব্রুয়ারিতে এর জন্য একটি নিরাপত্তা সমাধান প্রকাশ করেছে।

চেক পয়েন্ট রিসার্চ অনুসারে, মেসেজিং প্ল্যাটফর্ম-যা প্রায় দুই বিলিয়ন মাসিক সক্রিয় ব্যবহারকারীদের সাথে বিশ্বব্যাপী সর্বাধিক জনপ্রিয় বলে বিবেচিত-প্ল্যাটফর্মের ইমেজ ফিল্টার কার্যকারিতা সম্পর্কিত “আউট-অফ-বাউন্ডস রিড-রাইট দুর্বলতা” ছিল।

ইমেজ ফিল্টার কার্যকারিতা সম্পর্কিত হোয়াটসঅ্যাপ প্যাচ দুর্বলতা
ইমেজ ফিল্টার কার্যকারিতা সম্পর্কিত হোয়াটসঅ্যাপ প্যাচ দুর্বলতা

গবেষকরা উল্লেখ করেছেন যে দুর্বলতার শোষণের জন্য “প্রয়োজনীয় জটিল পদক্ষেপ এবং ব্যাপক ব্যবহারকারীর মিথস্ক্রিয়া” থাকবে। হোয়াটসঅ্যাপ বলেছে যে এমন কোন প্রমাণ নেই যে দুর্বলতা প্রতিটি অপব্যবহার করা হয়েছিল।

দুর্বলতা ট্রিগার করা হয়েছিল “যখন একজন ব্যবহারকারী একটি সংযুক্তি খুললেন যাতে একটি দূষিতভাবে তৈরি করা চিত্র ফাইল রয়েছে, তারপর একটি ফিল্টার প্রয়োগ করার চেষ্টা করা হয়েছিল, এবং তারপর ফিল্টারটি দিয়ে ছবিটি আক্রমণকারীর কাছে ফেরত পাঠানো হয়েছিল।” ইমেজ ফিল্টার কার্যকারিতা

চেক পয়েন্ট গবেষকরা দুর্বলতা আবিষ্কার করে এবং 10 নভেম্বর, 2020 এ হোয়াটসঅ্যাপের কাছে প্রকাশ করে। ফেব্রুয়ারির মধ্যে, হোয়াটসঅ্যাপ 2.21.1.13 সংস্করণে একটি ফিক্স জারি করে। যে উৎস ছবি এবং ফিল্টার ছবি দুটি নতুন চেক যোগ। ইমেজ ফিল্টার কার্যকারিতা

“প্রতিদিন প্রায় ৫৫ বিলিয়ন বার্তা হোয়াটসঅ্যাপে পাঠানো হয়, যেখানে প্রতিদিন .5.৫ বিলিয়ন ফটো এবং ১ বিলিয়ন ভিডিও শেয়ার করা হয়। আমরা হোয়াটসঅ্যাপ কীভাবে প্রক্রিয়া করে এবং ছবি পাঠায় সে বিষয়ে আমরা আমাদের গবেষণাকে কেন্দ্র করেছিলাম। , jpeg, এবং png, এবং চেক পয়েন্টে আমাদের AFL ফাজিং ল্যাব ব্যবহার করে বিকৃত ফাইল তৈরি করে, “প্রতিবেদনে ব্যাখ্যা করা হয়েছে। ইমেজ ফিল্টার কার্যকারিতা

“এএফএল ফুজার ইনপুট ফাইলের একটি সেট নেয় এবং মিউটেশন নামক একটি প্রক্রিয়ায় তাদের জন্য বিভিন্ন পরিবর্তন প্রয়োগ করে। এটি পরিবর্তিত ফাইলগুলির একটি বড় সেট তৈরি করে, যা তখন একটি টার্গেট প্রোগ্রামে ইনপুট হিসেবে ব্যবহার করা হয়। যখন পরীক্ষিত প্রোগ্রামটি ক্র্যাশ বা হ্যাং হয়ে যায় এই তৈরি ফাইলগুলিতে, এটি একটি নতুন বাগ আবিষ্কারের পরামর্শ দিতে পারে, সম্ভবত একটি নিরাপত্তা দুর্বলতা। ”

সেখান থেকে, গবেষকরা হোয়াটসঅ্যাপ লাইব্রেরিগুলিকে “ফাজ” করতে শুরু করেছিলেন এবং দ্রুত বুঝতে পেরেছিলেন যে কিছু ছবি পাঠানো যাবে না, দলটিকে ছবিগুলি ব্যবহারের অন্যান্য উপায় খুঁজতে বাধ্য করে। তারা ইমেজ ফিল্টারে স্থির হয়েছিল কারণ তাদের উল্লেখযোগ্য সংখ্যক গণনার প্রয়োজন ছিল এবং তারা “ক্র্যাশ করার জন্য প্রতিশ্রুতিশীল প্রার্থী” ছিল। ইমেজ ফিল্টার কার্যকারিতা

ইমেজ ফিল্টারিং এর মধ্যে রয়েছে “ছবির বিষয়বস্তু পড়া, পিক্সেলের মানগুলি হেরফের করা এবং একটি নতুন গন্তব্য ছবিতে ডেটা লেখা,” চেক পয়েন্টের গবেষকদের মতে, যিনি আবিষ্কার করেছেন যে “তৈরি করা GIF ফাইলে বিভিন্ন ফিল্টারের মধ্যে স্যুইচ করা আসলে হোয়াটসঅ্যাপ ক্র্যাশ করেছে।”

“ফুজার থেকে আমরা যেসব ক্র্যাশ পেয়েছিলাম তা পর্যালোচনা করার জন্য কিছু রিভার্স ইঞ্জিনিয়ারিং করার পর, আমরা একটি আকর্ষণীয় ক্র্যাশ পেয়েছি যাকে আমরা স্মৃতি দুর্নীতি হিসেবে চিহ্নিত করেছি। আমাদের তদন্ত চালিয়ে যাওয়ার আগে আমরা হোয়াটসঅ্যাপকে বিষয়টি জানিয়েছি, যা আমাদের এই দুর্বলতার জন্য একটি নাম দিয়েছে: CVE -2020-1910 হিপ-ভিত্তিক সীমার বাইরে পড়া এবং লিখুন। এই সমস্যাটি সম্পর্কে গুরুত্বপূর্ণ বিষয় হল যে খুব অনন্য এবং জটিল পরিস্থিতির কারণে এটি হোয়াটসঅ্যাপ অ্যাপ্লিকেশন থেকে সংবেদনশীল তথ্য প্রকাশের দিকে নিয়ে যেতে পারে, ” গবেষকরা বলেছেন।

“এখন যেহেতু আমরা জানি যে হোয়াটসঅ্যাপ অনুসারে আমাদের সীমার বাইরে পড়া এবং লেখা আছে, আমরা আরও গভীরভাবে খনন শুরু করেছি। আমরা libwhatsapp.so লাইব্রেরিকে রিভার্স-ইঞ্জিনিয়ার করেছি এবং ক্র্যাশের মূল কারণ বিশ্লেষণ করতে একটি ডিবাগার ব্যবহার করেছি। আমরা দেখেছি যে দুর্বলতা একটি স্থানীয় ফাংশনে থাকে

দুর্ঘটনাটি এই কারণে ঘটে যে হোয়াটসঅ্যাপ অনুমান করে যে গন্তব্য এবং উত্স চিত্র উভয়েরই একই মাত্রা রয়েছে এবং একটি নির্দিষ্ট আকারের “দূষিতভাবে তৈরি উত্স চিত্র” সীমার বাইরে মেমরি অ্যাক্সেসের দিকে নিয়ে যেতে পারে, যার ফলে একটি ক্র্যাশ ঘটে।

দুর্বলতার সমাধান এখন যাচাই করে যে ইমেজ ফরম্যাট 1 এর সমান, যার অর্থ উৎস এবং ফিল্টার উভয় ছবিই RGBA ফরম্যাটে থাকতে হবে। নতুন ফিক্স ছবির মাত্রা যাচাই করে ছবির আকারও যাচাই করে।

একটি বিবৃতিতে, হোয়াটসঅ্যাপ বলেছে যে তারা চেক পয়েন্টের কাজের প্রশংসা করেছে কিন্তু লক্ষ করেছে যে প্ল্যাটফর্মের এন্ড-টু-এন্ড এনক্রিপশন নিয়ে কারও চিন্তা করা উচিত নয়।

হোয়াটসঅ্যাপ ব্যাখ্যা করেছে, “এই প্রতিবেদনে একটি ব্যবহারকারীর একাধিক পদক্ষেপ গ্রহণ করা দরকার এবং আমাদের বিশ্বাস করার কোন কারণ নেই যে ব্যবহারকারীরা এই বাগের দ্বারা প্রভাবিত হবে। এটি বলেছে, এমনকি গবেষকরা চিহ্নিত করা সবচেয়ে জটিল দৃশ্যও ব্যবহারকারীদের নিরাপত্তা বাড়াতে সাহায্য করতে পারে।”

“যে কোনও প্রযুক্তি পণ্যের মতো, আমরা সুপারিশ করি যে ব্যবহারকারীরা তাদের অ্যাপ এবং অপারেটিং সিস্টেম আপ টু ডেট রাখুন, যখনই তারা আপডেটগুলি ডাউনলোড করবেন, সন্দেহজনক বার্তাগুলি রিপোর্ট করুন এবং যদি তারা হোয়াটসঅ্যাপ ব্যবহার করে সমস্যার সম্মুখীন হয় তবে আমাদের সাথে যোগাযোগ করুন।”

ফেসবুক, যা হোয়াটসঅ্যাপের মালিক, সেপ্টেম্বর ২০২০ সালে ঘোষণা করেছিল যে এটি তাত্ক্ষণিক বার্তা পরিষেবাটির জন্য চিহ্নিত এবং প্যাচ করা সমস্ত দুর্বলতার তালিকাভুক্ত করার জন্য নিবেদিত একটি ওয়েবসাইট চালু করবে।

Leave a Comment