ايتنا - کشف باگی مهم در پیام رسان Signal در ویندوز و لینوکس

به تازگی محققان امنیتی یک آسیب پذیری جدی را در برنامه پیام رسان محبوب Signal نسخه دسکتاپی آن یافته اند که در آن عملیات رمزنگاری نقطه به نقطه به کار گرفته شده است و در سیستم عامل های ویندوز و لینکوس قابل اجرا است. این آسیب پذیری می تواند به مجرمان اجازه دهد تا یک کد مخرب را با ارسال یک مسیج و بدون اینکه نیازی به تداخل در سیستم گیرنده داشته باشند اجرا کند.

به گزارش سرویس اخبار تکنولوژی از کسپرسکی آنلاین، آسیب پذیری بوجود آمده توسط Alfredo Ortega مشاور امنیتی نرم افزار شناسایی شد که در توییتر به همراه یک ویدئو آن را اثبات کرده است و نشان می‌دهد که چگونه یک پیلود جاوا اسکریپت از طریق برنامه سیگنال فرستاده می شود و با موفقیت در سیستم کاربر قابل اجرا است.

اگرچه جزئیات فنی تر این آسیب پذیری تا به حال نشر نشده است اما اینطور که به نظر می رسد این آسیب پذیری یک اجرای کد از راه دور یا چیزی شبیه یک آسیب پذیری دایمی XSS در برنامه سیگنال است که می تواند مجرمان را برای تزریق کدهای مخرب بر روی ویندوز و لینکوس قادر بسازد.

Ortega محقق امنیتی به وب سایت امنیتی Hacker News گفت: " در حال حاضر این فقط ما هستیم که می توانیم اجرای کدهای جاوااسکریپت را تایید کنیم. اما با این حال ما در حال ردیابی آن هستیم و احتمالا این آسیب پذیری بیشتر از اجرای جاوا اسکریپت می تواند به اجرای کدهای محلی منجر شود".

وی همچنین گفت: بهره برداری از این موضوع به به کار گرفتن چندین آسیب پذیری نیاز دارند که دو محقق امنیتی آرژانتینی دیگر با نام‌ها Ivan و Juliano این کار را انجام داده اند.
Ivan این محقق امنیتی می گوید: " من می توانم ثابت کنم که این آسیب پذیری پیش از این وجود نداشت و به تازگی است که رونمایی شده است زیرا توسعه دهندگان فراموش کرده اند که علت وجود یک regex برای شروع چیست".

هنوز مشخص نیست که این آسیب پذیری اولیه یا سایر مشکلات زنجیره ای در سورس کد سیگنال وجود دارند یا که در فریم ورک محبوب Electron قرار گرفته اند.(Electron تکنولوژی است که در آن برنامه های دسکتاپ سیگنال قرار گرفته اند).

اگر که این آسیب پذیری در بخش Electron قرار گرفته باشد ممکن است بر روی برنامه های کاربردی دیگر دسکتاپ همانند اسکایپ، وردپرس و Slack که از یک فریم ورک مشابه استفاده می کنند، تاثیر بگذارد.
علاوه بر این آسیب پذیری بوجود آمده جامعه infosec را نگران کرده است زیرا این نقص به مجرمان اجازه می دهد تا بتوانند از راه دور کلیدهای رمزنگاری کاربران را به سرقت ببرند و این موضوع بدترین کابوس برای کاربران برنامه سیگنال خواهد بود.

اما خبر خوبی که در این رابطه وجود دارد این است که Open Whisper Systems فعلا این موضوع را رفع کرده است و بلافاصله پس از دریافت اطلاعات مربوط به آسیب پذیری نسخه های جدیدی از برنامه سیگنال را منتشر ساخته است.

آسیب پذیری ابتدایی که باعث می شود تا مجرمان بتوانند کدهای مخرب خود را اجرا کنند در نسخه ی ۱٫۱۰٫۱ برنامه ی سیگنال و نسخه سوم ۱٫۱۱٫۰ پچ شده است. از همین رو به کاربران توصیه می شود حتما برنامه سیگنال را آپدیت و آسیب پذیری ها را پچ کنند.

Ortega گفت: " ما هنوز مطمئن نیستیم که تمامی آسیب پذیری های بوجود آمده رفع و خطری وجود نداشته باشد".