میک او ایس پر مصنوعی UI تعاملات استحقاق میں اضافے اور پورے سسٹم کو سمجھوتہ کرنے کے لئے واحد کلکس تیار کرسکتے ہیں۔

میری ٹکنالوجی

ڈیفکون گذشتہ ہفتے لاس ویگاس میں منعقد ہوا تھا۔ اس پروگرام میں ، ایک اسپیکر ، پیٹراک وارڈلی ، جو چیف سیکرٹری آفیجی آفیسر ، سیکیورٹی کے آفیسر ، نے خاص طور پر اور گہرائی سے اس خطرے کے بارے میں بات کی جس سے انہوں نے میک او ایس میں ٹھوکر کھائی جس سے سسٹم سمجھوتہ ہوسکتا ہے۔ انہوں نے کہا کہ محض کوڈ کی کچھ لائنوں کے ساتھ کھیل کر ، انہوں نے یہ سیکھا کہ نظام کی UI کے ساتھ مصنوعی تعاملات بڑے پیمانے پر سکیورٹی کے امور اور استحصال کی راہ ہموار کرسکتے ہیں۔

مصنوعی تعاملات جن کا ذکر وارڈل نے کیا ہے وہ اس نوعیت کی ہے جس سے دور دراز حملہ آوروں کو صارفین اپنی اسکرین پر ظاہر ہونے والی چیزوں پر کسی کا ارادہ کیے بغیر کلک کرنے کا موقع دیتے ہیں۔ یہ کلکس غیر اجازت اجازت دے سکتی ہیں اور اگر اس طرح کے استحصال کے ذریعہ دانا کو بڑھا دیا جاتا ہے تو ، آپریٹنگ سسٹم کو اعلی ترین اجازتوں سے سمجھوتہ کیا جاسکتا ہے۔

یہ واحد کلکس ایپلی کیشنز ، کیچین کو اختیار ، تیسرے فریق کے دانے توسیع کو لوڈ کرنے ، اور جانے والے نیٹ ورک رابطوں کو اختیار دینے کی اجازت دینے کے لئے اختیاراتی چوکیوں کو نظرانداز کرنے کی طاقت رکھتے ہیں۔ یہ سب کچھ صرف اتنا ہی ہوتا ہے کہ حملہ آور کو سسٹم تک رسائی حاصل کرنے ، کوڈ کوڈ کو چلانے اور دلچسپی کی معلومات اور دستاویزات کو بھی ختم کرنے کی ضرورت ہوتی ہے۔

زیادہ تر وقت ، جب آپ کو کسی بھی عمل کو اپنے کمپیوٹر پر کسی بھی کام کے بارے میں پوچھنے کی اجازت دینے کا اشارہ کیا جاتا ہے تو ، آپ جو عمل پوچھ رہے ہیں اس پر اعتماد کرنے کے بارے میں دو بار سوچتے ہیں۔ سنگل کلک ہیرا پھیری کی حکمت عملی آپ کو سروسز کو اجازت دینے کا سبب بن سکتی ہے بغیر یہ جاننے کے کہ وہ قابل اعتماد ہیں یا بالکل محفوظ ہیں۔

اس خطرے کا سبب جو اس کا سبب بنتا ہے ، CVE-2017-7150 ، اس کے ورژن 10.13 سے پہلے میک او ایس کے ورژن میں نقص ہے۔ یہ کمزوری کمزور حملہ آور کوڈز کو UI اجزاء کے ساتھ بات چیت کرنے کی اجازت دیتی ہے جس میں وہی محفوظ مکالمہ بھی شامل ہے جو آپ سے آگے بڑھنے کی اجازت کے ل ask پوپ اپ ہوتے ہیں۔ UI کے خلاف اس طرح کے مصنوعی کلکس تیار کرنے کی صلاحیت حملہ آوروں کو وہ سبھی اجازت حاصل کرنے کی اجازت دیتی ہے جو وہ نادانستہ صارف سے چاہتے ہیں اور جو کچھ بھی وہ سسٹم پر چاہتے ہیں اس پر عمل پیرا ہیں۔

ایپل کے ذریعہ اس صفر دن کے استحصال کو کم کرنے کے لئے ایک تازہ کاری جاری کی گئی ہے۔ اپ ڈیٹ کو 'یوزر اسسٹڈ کرنل ایکسٹینشن لوڈنگ' (کیکسٹ) کہا جاتا ہے ، اور اپ ڈیٹ اس بات کو یقینی بناتا ہے کہ واحد کلک مصنوعی نسل واقع نہیں ہوسکتی ہے کیونکہ صارفین کو اپنے کلکس کو خود دستی طور پر انجام دینے کی ضرورت ہوتی ہے۔