A Microsoft hozzárendeli a CVE-t a Snipping Tool hibához, és leküldi a javítást a Store-nak

A Microsoft hozzárendeli a CVE-t a Snipping Tool hibához, és leküldi a javítást a Store-nak

Időbélyeg: 27. március 2023. 3:59
Forrás csomópont: 2546489
by Paul Ducklin

A múlt hét volt aCropalipse héten, ahol a Google Pixel képvágó alkalmazás hibája került a címlapokra, és nem csak azért, mert funky neve volt.

(Azt a véleményt formáltuk, hogy a név egy kicsit OTT, de valljuk be, hogy ha magunk gondoltuk volna, akkor már csak a szójáték miatt szerettük volna használni, bár kiderült, nehezebb hangosan kimondani, mint gondolná.)

A hiba olyan programozási hiba volt, amelyet bármelyik kódoló elkövethetett, de sok tesztelő figyelmen kívül hagyhatta:

A képkivágási eszközök nagyon hasznosak, ha úton van, és szeretne megosztani egy impulzusfotót, amelyen esetleg egy macska szerepel, vagy egy mulatságos képernyőképet, esetleg egy szokatlan bejegyzést a közösségi médiában vagy egy bizarr hirdetést, amely felbukkant egy webhelyen. .

A gyorsan elkészített képek vagy sebtében készített képernyőképek azonban gyakran olyan részleteket tartalmaznak, amelyeket nem akarsz, hogy mások lássanak.

Néha le akar vágni egy képet, mert egyszerűen jobban néz ki, ha levágja az idegen tartalmat, például a bal oldalon lévő graffitikkel elkent buszmegállót.

Néha azonban tisztességből szeretné szerkeszteni, például ki kell vágnia azokat a részleteket, amelyek sérthetik a saját (vagy valaki más) magánéletét azáltal, hogy szükségtelenül felfedik tartózkodási helyét vagy helyzetét.

Ugyanez igaz a képernyőképekre is, ahol a külső tartalom között szerepelhet a szomszédos böngészőlap tartalma, vagy a közvetlenül a mulatságos lap alatt lévő privát e-mail, amelyet ki kell vágnia, hogy betartsa az adatvédelmi szabályokat. .

Legyen tisztában, mielőtt megosztja

Egyszerűen fogalmazva, a fotók és képernyőképek kiküldés előtti levágásának egyik elsődleges oka az, hogy megszabaduljon azoktól a tartalmaktól, amelyeket nem szeretne megosztani.

Tehát, akárcsak mi, te is valószínűleg azt feltételezted, hogy ha kivágsz egy darabot egy fényképből vagy képernyőképből, és [Save], akkor még akkor is, ha az alkalmazás nyilvántartotta a módosításait, így később visszaállíthatja azokat, és visszaállíthatja a pontos eredetit…

…azok a levágott részek nem szerepelnek a szerkesztett fájl egyetlen példányában sem, amelyet úgy választott, hogy közzétesz az interneten, e-mailben elküldi a barátainak vagy elküldi egy barátjának.

A Google Pixel Markup alkalmazás azonban nem egészen ezt tette, ami egy hibához vezetett CVE-2023 20136-.

Ha egy módosított képet mentett a régi fölé, majd újra megnyitotta a módosítások ellenőrzéséhez, akkor az új kép kivágott formában jelenik meg, mivel a kivágott adatok helyesen íródnak az előző verzió kezdetére.

Bárki, aki magát az alkalmazást teszteli, vagy megnyitja a képet annak ellenőrzésére, hogy „most néz ki”, az új tartalmat látja, és semmi mást.

De a régi fájl elejére írt adatokat egy speciális belső jelölő követné, amely azt mondja: „Most megállíthatod; a továbbiakban ne hagyjon figyelmen kívül minden adatot”, amelyet teljesen helytelenül követ minden adatot, amely ezt követően megjelent a fájl régi verziójában.

Mindaddig, amíg az új fájl kisebb volt, mint a régi (és amikor levágja a kép széleit, arra számít, hogy az új verzió kisebb lesz), a régi kép legalább néhány darabja kikerül az új fájl végén .

A hagyományos, jól viselkedő képnézegetők, beleértve azt az eszközt is, amelyet a fájl kivágására használt, figyelmen kívül hagyják a többletadatokat, de a szándékosan kódolt adat-helyreállítás vagy a leskelődő alkalmazások nem biztos, hogy nem.

Máshol ismétlődő pixelproblémák

A Google hibás Pixel telefonjait láthatóan kijavították a 2023. márciusi Android-frissítésben, és bár egyes Pixel készülékek a szokásosnál két héttel később kapták meg az e havi frissítéseket, most már minden Pixelnek naprakésznek kell lennie, vagy kényszeresen frissíthető, ha végrehajt egy műveletet. kézi frissítés ellenőrzés.

De ez a hibaosztály, nevezetesen az adatok hátrahagyása egy régi fájlban, amelyet tévedésből felülír, ahelyett, hogy először csonkolná a régi tartalmát, elméletileg szinte minden alkalmazásban megjelenhet [Save] funkció, nevezetesen más kép- és képernyőkép-vágó alkalmazásokat is beleértve.

És nem sokkal később megjelent a Windows 11 is Képmetsző eszköz és a Windows 10 Snip & Sketch alkalmazást találtak ugyanaz a hiba:

Gyorsan és egyszerűen levághat egy fájlt, de ha a [Save] a régi fájl felett, és nem a [Save As] egy új fájlba, ahol nem lenne hátrahagyható korábbi tartalom, hasonló sors várna rád.

A hibák alacsony szintű okai eltérőek, nem utolsósorban azért, mert a Google szoftvere Java-stílusú alkalmazás, és Java könyvtárakat használ, míg a Microsoft alkalmazásai C++ nyelven íródnak és Windows könyvtárakat használnak, de a kiszivárgó mellékhatások azonosak.

Mint barátunk és kollégánk, Chester Wisniewski csipkelődött a múlt heti podcastban, „Gyanítom, hogy augusztusban sok megbeszélésre kerülhet sor Las Vegasban, hogy ezt más alkalmazásokban is megvitassák.” (Augusztus a Black Hat és a DEF CON események szezonja.)

Mit kell tenni?

A Windows-felhasználók számára jó hír, hogy a Microsoft hozzárendelte az azonosítót CVE-2023 28303- annak saját íze az aCropalipse hibát, és feltöltötte az érintett alkalmazások javított verzióit a Microsoft Store-ba.

Saját Windows 11 Enterprise Edition telepítésünkben a Windows Update nem mutatott semmi újat vagy javítást, amelyre a múlt hét óta szükségünk volt, csak manuálisan frissítette a Képmetsző eszköz Az alkalmazás a Microsoft Store-on keresztül frissített minket 11.2302.4.0-ról a következőre 11.2302.20.0.

Nem tudjuk, milyen verziószámot fog látni, ha megnyitja a hibás Windows 10-et Snip & Sketch alkalmazást, de a Microsoft Store-ból való frissítés után keresnie kell 10.2008.3001.0 vagy későbbi.

A Microsoft ezt alacsony súlyosságú hibának tartja, ezen az alapon "A sikeres kihasználáshoz szokatlan felhasználói interakcióra és számos olyan tényezőre van szükség, amely a támadó ellenőrzésén kívül esik."

Nem vagyunk biztosak abban, hogy teljesen egyetértünk ezzel az értékeléssel, mert a probléma nem az, hogy egy támadó ráveheti Önt egy kép kivágására, hogy ellopja annak egy részét. (Biztosan rábeszélnének, hogy küldje el nekik az egész fájlt anélkül, hogy először levágná?)

A probléma az, hogy előfordulhat, hogy pontosan követi azt a munkafolyamatot, amelyet a Microsoft biztonsági óvintézkedésként „szokatlannak” tart, mielőtt megosztana egy fényképet vagy képernyőképet, de azt tapasztalhatja, hogy véletlenül éppen azokat az adatokat szivárogtatta ki nyilvános térbe, amelyeket úgy gondolt, hogy kivágott.

Végtére is, a Microsoft Store saját pályán a Képmetsző eszköz gyors módjaként írja le "mentés, beillesztés vagy megosztás más alkalmazásokkal."

Más szavakkal: Ne késlekedj, javítsd meg még ma.

Csak egy pillanatig tart.

Időbélyeg:

Még több Meztelen biztonság