Microsoft tildeler CVE til Snipping Tool-feil, sender oppdateringen til Store

Microsoft tildeler CVE til Snipping Tool-feil, sender oppdateringen til Store

Tidsstempel: 27. mars 2023 3:59
Kilde node: 2546489
by Paul Ducklin

Forrige uke var aCropalypse uke, der en feil i Google Pixel-appen for bildebeskjæring skapte overskrifter, og ikke bare fordi den hadde et funky navn.

(Vi dannet oss den oppfatningen at navnet var litt OTT, men vi innrømmer at hvis vi hadde tenkt på det selv, ville vi ha ønsket å bruke det for sin ordspilleverdi alene, selv om det viser seg å være vanskeligere å si høyt enn du kanskje tror.)

Feilen var den typen programmeringsfeil som enhver koder kunne ha gjort, men som mange testere kanskje har gått glipp av:

Verktøy for bildebeskjæring er veldig nyttige når du er på veien og du vil dele et impulsbilde, kanskje med en katt, eller et morsomt skjermbilde, kanskje inkludert et sprøtt innlegg på sosiale medier eller en bisarr annonse som dukket opp på et nettsted .

Men raskt knipsede bilder eller skjermdumper som raskt blir tatt, ender ofte opp med biter du ikke vil at andre skal se.

Noen ganger vil du beskjære et bilde fordi det rett og slett ser bedre ut når du kutter av fremmedinnhold, for eksempel den graffiti-påsmurte bussholdeplassen på venstre side.

Noen ganger vil du imidlertid redigere det av anstendighet, for eksempel å kutte ut detaljer som kan skade ditt eget (eller andres) privatliv ved å avsløre posisjonen din eller situasjonen din unødvendig.

Det samme gjelder for skjermbilder, der det fremmede innholdet kan inkludere innholdet i nettleserfanen ved siden av, eller den private e-posten rett under den morsomme, som du må kutte ut for å holde deg på høyre side av personvernforskriftene. .

Vær oppmerksom før du deler

Enkelt sagt, en av hovedgrunnene til å beskjære bilder og skjermbilder før du sender dem ut, er å kvitte seg med innhold du ikke vil dele.

Så, som oss, antok du sannsynligvis at hvis du kuttet biter ut av et bilde eller skjermbilde og traff [Save], selv om appen holdt en oversikt over redigeringene dine slik at du kunne tilbakestille dem senere og gjenopprette den nøyaktige originalen ...

…de avkuttede bitene ville ikke være inkludert i noen kopier av den redigerte filen som du valgte å legge ut på nettet, sende e-post til vennene dine eller sende til en venn.

Google Pixel Markup-appen gjorde det imidlertid ikke helt, noe som førte til en feil angitt CVE-2023-20136.

Når du lagret et endret bilde over det gamle, og deretter åpnet det for å sjekke endringene, vil det nye bildet vises i sin beskårne form, fordi de beskårne dataene ble skrevet riktig over begynnelsen av forrige versjon.

Alle som tester selve appen, eller åpner bildet for å bekrefte at det "så ut akkurat nå", ville se det nye innholdet, og ingenting mer.

Men dataene som ble skrevet i starten av den gamle filen ville bli fulgt av en spesiell intern markør for å si: "Du kan stoppe nå; ignorere alle data heretter", etterfulgt helt feilaktig av alle dataene som pleide å vises deretter i den gamle versjonen av filen.

Så lenge den nye filen var mindre enn den gamle (og når du kutter kantene av et bilde, forventer du at den nye versjonen skal være mindre), ville i det minste noen biter av det gamle bildet unnslippe på slutten av den nye filen .

Tradisjonelle, veloppdragne bildevisere, inkludert selve verktøyet du nettopp brukte til å beskjære filen, vil ignorere de ekstra dataene, men bevisst kodede datagjenopprettings- eller snooping-apper vil kanskje ikke.

Pikselproblemer gjentas andre steder

Googles buggy Pixel-telefoner ble tilsynelatende lappet i Android-oppdateringen fra mars 2023, og selv om noen Pixel-enheter mottok denne månedens oppdateringer to uker senere enn vanlig, skal alle Pixels nå være oppdatert, eller kan tvinges oppdateres hvis du utfører en manuell oppdateringssjekk.

Men denne klassen av feil, nemlig å legge igjen data i en gammel fil som du overskriver ved en feiltakelse, i stedet for å avkorte det gamle innholdet først, kan i teorien vises i nesten alle apper med en [Save] funksjon, spesielt inkludert andre apper for bildebeskjæring og skjermdumptrimming.

Og det tok ikke lang tid før begge Windows 11 Utklippsverktøyet og Windows 10 Snip & Sketch app ble funnet til har samme feil:

Du kan beskjære en fil raskt og enkelt, men hvis du gjorde en [Save] over den gamle filen og ikke en [Save As] til en ny fil, hvor det ikke ville være noe tidligere innhold å etterlate seg, ville en lignende skjebne ventet deg.

Årsakene til feilene på lavt nivå er forskjellige, ikke minst fordi Googles programvare er en app i Java-stil og bruker Java-biblioteker, mens Microsofts apper er skrevet i C++ og bruker Windows-biblioteker, men de lekke bivirkningene er identiske.

Som vår venn og kollega Chester Wisniewski quipped i forrige ukes podcast, "Jeg mistenker at det kan være mange samtaler i august i Las Vegas som diskuterer dette i andre søknader." (August er sesongen for Black Hat og DEF CON-arrangementene.)

Hva gjør jeg?

Den gode nyheten for Windows-brukere er at Microsoft nå har tildelt identifikatoren CVE-2023-28303 til sin egen smak av aCropalypse bug, og har lastet opp oppdateringsversjoner av de berørte appene til Microsoft Store.

I vår egen Windows 11 Enterprise Edition-installasjon viste Windows Update ingenting nytt eller oppdatering som vi trengte siden forrige uke, men manuelt oppdatere Utklippsverktøyet app via Microsoft Store oppdaterte oss fra 11.2302.4.0 til 11.2302.20.0.

Vi er ikke sikre på hvilket versjonsnummer du vil se hvis du åpner buggy Windows 10 Snip & Sketch app, men etter oppdatering fra Microsoft Store bør du lete etter 10.2008.3001.0 eller senere.

Microsoft anser dette som en feil med lav alvorlighetsgrad, med den begrunnelse "Vellykket utnyttelse krever uvanlig brukerinteraksjon og flere faktorer utenfor en angripers kontroll."

Vi er ikke sikre på at vi er helt enige i den vurderingen, for problemet er ikke at en angriper kan lure deg til å beskjære et bilde for å stjele deler av det. (De ville sikkert bare overtale deg til å sende dem hele filen uten å måtte beskjære den først?)

Problemet er at du kanskje følger akkurat arbeidsflyten som Microsoft anser som "uvanlig" som en sikkerhetsforanstaltning før du deler et bilde eller skjermbilde, bare for å finne ut at du utilsiktet lekket inn i et offentlig rom selve dataen du trodde du hadde kuttet ut.

Tross alt, Microsoft Stores egen pitch for Utklippsverktøyet beskriver det som en rask måte å "lagre, lim inn eller del med andre apper."

Med andre ord: Ikke utsett, lapp det i dag.

Det tar bare et øyeblikk.

Tidstempel:

Mer fra Naken sikkerhet