মাইক্রোসফ্ট স্নিপিং টুল বাগকে CVE বরাদ্দ করে, প্যাচকে স্টোরে পুশ করে

গত সপ্তাহে ছিল acropalypse সপ্তাহে, যেখানে Google Pixel ইমেজ ক্রপিং অ্যাপে একটি বাগ শিরোনাম করেছে, এবং শুধুমাত্র এটির একটি মজার নাম ছিল বলে নয়।

(আমরা এই মতামতটি তৈরি করেছি যে নামটি একটু ওটিটি ছিল, কিন্তু আমরা স্বীকার করি যে আমরা যদি নিজেরাই এটির কথা ভাবতাম, তবে আমরা এটিকে একা ব্যবহার করতে চাইতাম, যদিও এটি পরিণত হয় আপনি যা ভাবেন তার চেয়ে জোরে বলা কঠিন।)

বাগটি এমন একটি প্রোগ্রামিং ভুল ছিল যা যেকোনো কোডার তৈরি করতে পারত, কিন্তু অনেক পরীক্ষক হয়তো মিস করেছেন:

ইমেজ ক্রপিং টুলগুলি খুব সুবিধাজনক যখন আপনি রাস্তায় থাকবেন এবং আপনি একটি আবেগের ছবি শেয়ার করতে চান, সম্ভবত একটি বিড়াল বা একটি মজার স্ক্রিনশট, সম্ভবত সোশ্যাল মিডিয়াতে একটি বিশ্রী পোস্টিং বা একটি উদ্ভট বিজ্ঞাপন যা একটি ওয়েবসাইটে পপ আপ করা সহ .

কিন্তু দ্রুত তোলা ছবি বা তাড়াহুড়ো করে নেওয়া স্ক্রিনশটগুলি প্রায়ই এমন বিটগুলি সহ শেষ হয় যা আপনি অন্য লোকেদের দেখতে চান না।

কখনও কখনও, আপনি একটি চিত্র ক্রপ করতে চান কারণ আপনি যখন বাম দিকের গ্রাফিতি-সমেয়ারড বাস স্টপটির মতো কোনও বহিরাগত বিষয়বস্তু কেটে ফেলেন তখন এটি আরও ভাল দেখায়।

কখনও কখনও, যাইহোক, আপনি এটিকে শালীনতার বাইরে সম্পাদনা করতে চান, যেমন অপ্রয়োজনীয়ভাবে আপনার অবস্থান বা পরিস্থিতি প্রকাশ করে আপনার নিজের (বা অন্য কারোর) গোপনীয়তাকে ক্ষতিগ্রস্ত করতে পারে এমন বিশদ বিবরণ কেটে ফেলা।

স্ক্রিনশটগুলির ক্ষেত্রেও একই কথা প্রযোজ্য, যেখানে বহিরাগত সামগ্রীতে আপনার পাশের-ডোর ব্রাউজার ট্যাবের বিষয়বস্তু বা সরাসরি মজাদার একটির নীচে ব্যক্তিগত ইমেল অন্তর্ভুক্ত থাকতে পারে, যা গোপনীয়তা প্রবিধানের ডানদিকে থাকার জন্য আপনাকে কেটে ফেলতে হবে .

শেয়ার করার আগে সচেতন হোন

সহজ কথায়, ফটো এবং স্ক্রিনশটগুলি পাঠানোর আগে ক্রপ করার প্রাথমিক কারণগুলির মধ্যে একটি হল এমন সামগ্রী থেকে মুক্তি পাওয়া যা আপনি শেয়ার করতে চান না।

সুতরাং, আমাদের মতো, আপনি সম্ভবত ধরে নিয়েছেন যে আপনি যদি কোনও ফটো বা স্ক্রিনশট থেকে বিটগুলি কেটে ফেলেন এবং আঘাত করেন [Save], তারপরেও যদি অ্যাপটি আপনার সম্পাদনাগুলির একটি রেকর্ড রাখে যাতে আপনি সেগুলিকে পরে ফিরিয়ে আনতে পারেন এবং সঠিক আসলটি পুনরুদ্ধার করতে পারেন...

…এই কাটা-ছেঁড়া বিটগুলি সম্পাদিত ফাইলের কোনও অনুলিপিতে অন্তর্ভুক্ত করা হবে না যা আপনি অনলাইনে পোস্ট করতে, আপনার বন্ধুদের ইমেল করতে বা বন্ধুকে পাঠাতে বেছে নিয়েছেন।

গুগল পিক্সেল মার্কআপ অ্যাপটি অবশ্য এটি পুরোপুরি করেনি, যার ফলে একটি বাগ চিহ্নিত করা হয়েছে জন্য CVE-2023-20136.

আপনি যখন একটি পরিবর্তিত চিত্রকে পুরানোটির উপর সংরক্ষণ করেন, এবং তারপরে আপনার পরিবর্তনগুলি পরীক্ষা করার জন্য এটিকে আবার খুলেন, তখন নতুন চিত্রটি তার ক্রপ করা আকারে প্রদর্শিত হবে, কারণ ক্রপ করা ডেটা আগের সংস্করণের শুরুতে সঠিকভাবে লেখা হবে৷

যে কেউ অ্যাপটি নিজেই পরীক্ষা করছে, বা "এখনই দেখা যাচ্ছে" যাচাই করার জন্য ছবিটি খুললে এর নতুন বিষয়বস্তু দেখতে পাবে, এবং এর বেশি কিছু নয়।

কিন্তু পুরানো ফাইলের শুরুতে লেখা ডেটা একটি বিশেষ অভ্যন্তরীণ মার্কার দ্বারা অনুসরণ করা হবে যাতে বলা হয়, “আপনি এখন থামতে পারেন; এর পরে যেকোন তথ্য উপেক্ষা করুন", সম্পূর্ণরূপে ভুলভাবে অনুসরণ করুন এর পরে প্রদর্শিত সমস্ত ডেটা ফাইলের পুরানো সংস্করণে।

যতক্ষণ না নতুন ফাইলটি পুরানোটির চেয়ে ছোট ছিল (এবং আপনি যখন কোনও চিত্রের প্রান্তগুলি কেটে ফেলবেন, আপনি নতুন সংস্করণটি ছোট হওয়ার আশা করছেন), নতুন ফাইলের শেষে পুরানো চিত্রের অন্তত কিছু অংশ বেরিয়ে যাবে। .

প্রথাগত, ভাল-আচরণকারী ইমেজ দর্শক, যার মধ্যে আপনি ফাইলটি ক্রপ করার জন্য যে টুলটি ব্যবহার করেছেন তা অতিরিক্ত ডেটা উপেক্ষা করবে, কিন্তু ইচ্ছাকৃতভাবে কোড করা ডেটা পুনরুদ্ধার বা স্নুপিং অ্যাপগুলি নাও হতে পারে।

পিক্সেল সমস্যা অন্যত্র পুনরাবৃত্তি হয়

Google-এর বগি পিক্সেল ফোনগুলি 2023 সালের মার্চ মাসের অ্যান্ড্রয়েড আপডেটে স্পষ্টতই প্যাচ করা হয়েছিল, এবং যদিও কিছু পিক্সেল ডিভাইস স্বাভাবিকের চেয়ে দুই সপ্তাহ পরে এই মাসের আপডেটগুলি পেয়েছে, তবে সমস্ত পিক্সেল এখন আপ-টু-ডেট হওয়া উচিত, অথবা আপনি যদি একটি সঞ্চালন করেন তবে জোর করে আপডেট করা যেতে পারে। ম্যানুয়াল আপডেট চেক।

কিন্তু এই শ্রেণীর বাগ, যেমন একটি পুরানো ফাইলে ডেটা রেখে যা আপনি ভুলবশত ওভাররাইট করেন, এর পুরানো বিষয়বস্তু প্রথমে ছেঁটে ফেলার পরিবর্তে, তাত্ত্বিকভাবে প্রায় যেকোনো অ্যাপে প্রদর্শিত হতে পারে [Save] বৈশিষ্ট্য, বিশেষ করে অন্যান্য ছবি-ক্রপিং এবং স্ক্রিনশট-ট্রিমিং অ্যাপ সহ।

এবং উইন্ডোজ 11 উভয়ের আগে খুব বেশি সময় লাগেনি ছাটাই যন্ত্র এবং উইন্ডোজ 10 স্নিপ এবং স্কেচ অ্যাপ পাওয়া গেছে একই ত্রুটি আছে:

আপনি দ্রুত এবং সহজে একটি ফাইল ক্রপ করতে পারেন, কিন্তু যদি আপনি একটি করেন [Save] পুরানো ফাইলের উপর এবং না a [Save As] একটি নতুন ফাইলে, যেখানে কোনও পূর্ববর্তী বিষয়বস্তু পিছনে ফেলে রাখা হবে না, অনুরূপ ভাগ্য আপনার জন্য অপেক্ষা করবে।

বাগগুলির নিম্ন-স্তরের কারণগুলি আলাদা, অন্তত নয় কারণ Google-এর সফ্টওয়্যারটি একটি জাভা-স্টাইলের অ্যাপ এবং জাভা লাইব্রেরি ব্যবহার করে, যখন মাইক্রোসফ্টের অ্যাপগুলি C++ এ লেখা হয় এবং উইন্ডোজ লাইব্রেরি ব্যবহার করে, তবে ফাঁস হওয়া পার্শ্ব প্রতিক্রিয়াগুলি অভিন্ন।

আমাদের বন্ধু এবং সহকর্মী চেস্টার উইসনিউস্কি হিসাবে সরস মন্তব্য গত সপ্তাহের পডকাস্টে, "আমি সন্দেহ করি যে আগস্টে লাস ভেগাসে অন্যান্য অ্যাপ্লিকেশনগুলিতে এটি নিয়ে আলোচনা করার জন্য অনেক আলোচনা হতে পারে।" (আগস্ট হল ব্ল্যাক হ্যাট এবং ডিইএফ কন ইভেন্টের মরসুম।)

কি করো?

উইন্ডোজ ব্যবহারকারীদের জন্য সুখবর হল যে মাইক্রোসফ্ট এখন শনাক্তকারী বরাদ্দ করেছে জন্য CVE-2023-28303 এটিতে নিজস্ব স্বাদ এর acropalypse বাগ, এবং মাইক্রোসফ্ট স্টোরে প্রভাবিত অ্যাপগুলির প্যাচ করা সংস্করণ আপলোড করেছে।

আমাদের নিজস্ব উইন্ডোজ 11 এন্টারপ্রাইজ সংস্করণ ইনস্টলে, উইন্ডোজ আপডেটে গত সপ্তাহ থেকে আমাদের প্রয়োজনীয় নতুন কিছু বা প্যাচ দেখায়নি, তবে ম্যানুয়ালি আপডেট করা হচ্ছে ছাটাই যন্ত্র মাইক্রোসফ্ট স্টোরের মাধ্যমে অ্যাপটি 11.2302.4.0 থেকে আমাদের আপডেট করেছে 11.2302.20.0.

আপনি বগি উইন্ডোজ 10 খুললে আপনি কোন সংস্করণ নম্বরটি দেখতে পাবেন তা আমরা নিশ্চিত নই স্নিপ এবং স্কেচ অ্যাপ, কিন্তু মাইক্রোসফ্ট স্টোর থেকে আপডেট করার পরে, আপনার সন্ধান করা উচিত 10.2008.3001.0 অথবা পরে.

মাইক্রোসফ্ট এটিকে একটি নিম্ন-তীব্রতার বাগ হিসাবে বিবেচনা করে, এই কারণে "সফল শোষণের জন্য অস্বাভাবিক ব্যবহারকারীর মিথস্ক্রিয়া এবং আক্রমণকারীর নিয়ন্ত্রণের বাইরে বেশ কয়েকটি কারণের প্রয়োজন হয়।"

আমরা নিশ্চিত নই যে আমরা সেই মূল্যায়নের সাথে পুরোপুরি একমত, কারণ সমস্যাটি এমন নয় যে কোনও আক্রমণকারী আপনাকে একটি চিত্র ক্রপ করার জন্য এটির কিছু অংশ চুরি করতে পারে৷ (অবশ্যই তারা আপনাকে প্রথমে ক্রপ করার ঝামেলা ছাড়াই পুরো ফাইলটি পাঠানোর জন্য কথা বলবে?)

সমস্যা হল যে আপনি ঠিক সেই ওয়ার্কফ্লো অনুসরণ করতে পারেন যা Microsoft একটি ছবি বা স্ক্রিনশট শেয়ার করার আগে নিরাপত্তা সতর্কতা হিসাবে "অস্বাভাবিক" হিসাবে বিবেচনা করে, শুধুমাত্র এটি খুঁজে বের করার জন্য যে আপনি অনিচ্ছাকৃতভাবে একটি পাবলিক স্পেসে ফাঁস করেছেন যে ডেটা আপনি কেটে ফেলেছেন বলে ভেবেছিলেন৷

সর্বোপরি, মাইক্রোসফ্ট স্টোরের জন্য নিজস্ব পিচ ছাটাই যন্ত্র এটি একটি দ্রুত উপায় হিসাবে বর্ণনা করে "অন্যান্য অ্যাপের সাথে সেভ করুন, পেস্ট করুন বা শেয়ার করুন।"

অন্য কথায়: দেরি করবেন না, আজই প্যাচ করুন।

এটা শুধুমাত্র একটি মুহূর্ত লাগে.

---

• এসইও চালিত বিষয়বস্তু এবং পিআর বিতরণ। আজই পরিবর্ধিত পান।
• প্লেটোব্লকচেন। Web3 মেটাভার্স ইন্টেলিজেন্স। জ্ঞান প্রসারিত. এখানে প্রবেশ করুন.
• উত্স: https://nakedsecurity.sophos.com/2023/03/27/microsoft-assigns-cve-to-snipping-tool-bug-pushes-patch-to-store/