گوگل کے کچھ دن بعد، ایپل نے براؤزر انجن میں زیرو ڈے کا استحصال کیا۔

ایپل نے سفاری کے لیے اپنے WebKit براؤزر انجن میں ایک فعال طور پر استعمال شدہ صفر دن کے بگ کو پیچ کیا ہے۔

بگ، بطور تفویض CVE-2024-23222، ایک سے پیدا ہوتا ہے۔ الجھن کی غلطی ٹائپ کریں۔، جو بنیادی طور پر ہوتا ہے جب کوئی درخواست غلط طریقے سے یہ فرض کر لیتی ہے کہ اسے موصول ہونے والا ان پٹ ایک خاص قسم کا ہے جس کی حقیقت میں توثیق کیے بغیر — یا غلط طریقے سے توثیق کیے گئے — ایسا ہونا ہے۔

فعال طور پر استحصال کیا

ایپل نے کل اس خطرے کو ایک ایسی چیز کے طور پر بیان کیا ہے جو حملہ آور متاثرہ سسٹمز پر صوابدیدی کوڈ پر عمل درآمد کے لیے فائدہ اٹھا سکتا ہے۔ کمپنی کی ایڈوائزری میں مزید تفصیلات بتائے بغیر کہا گیا کہ "ایپل ایک رپورٹ سے آگاہ ہے کہ اس مسئلے سے فائدہ اٹھایا گیا ہے۔"

کمپنی نے جاری کیا ہے اپ ڈیٹ شدہ ورژن iOS، iPadOS، macOS، iPadOS، اور tvOS کی اضافی توثیق کی جانچ کے ساتھ خطرے سے نمٹنے کے لیے۔

CVE-2024-23222 پہلی صفر دن کی کمزوری ہے جسے ایپل نے 2024 میں WebKit میں ظاہر کیا تھا۔ پچھلے سال، کمپنی نے ٹیکنالوجی میں کل 11 صفر دن کے بگس کا انکشاف کیا تھا - یہ کسی ایک کیلنڈر سال میں اب تک کا سب سے زیادہ ہے۔ 2021 کے بعد سے، ایپل نے مجموعی طور پر 22 ویب کٹ صفر دن کے کیڑے ظاہر کیے ہیں، جو محققین اور حملہ آوروں دونوں کی براؤزر میں بڑھتی ہوئی دلچسپی کو نمایاں کرتے ہیں۔

متوازی طور پر، ایپل کا نئی ویب کٹ صفر دن کا انکشاف گوگل کے پچھلے ہفتے کے انکشاف کے بعد ہے۔ کروم میں صفر دن. یہ حالیہ مہینوں میں کم از کم تیسری بار نشان زد کیا گیا ہے جہاں دونوں دکانداروں نے ایک دوسرے کے قریب اپنے براؤزرز میں صفر دنوں کا انکشاف کیا ہے۔ رجحان سے پتہ چلتا ہے کہ محققین اور حملہ آور دونوں ٹیکنالوجیز میں خامیوں کے لیے تقریباً یکساں طور پر چھان بین کر رہے ہیں، اس لیے کہ کروم اور سفاری بھی سب سے زیادہ استعمال ہونے والے براؤزر ہیں۔

جاسوسی کا خطرہ

ایپل نے نئے انکشاف شدہ صفر دن کے بگ کو نشانہ بنانے والی استحصالی سرگرمی کی نوعیت کا انکشاف نہیں کیا ہے۔ لیکن محققین نے رپورٹ کیا ہے کہ تجارتی سپائی ویئر فروشوں کو کمپنی کے حالیہ کچھ کے ساتھ غلط استعمال کرتے ہوئے دیکھا گیا ہے، تاکہ ہدف والے مضامین کے آئی فونز پر نگرانی کے سافٹ ویئر کو چھوڑا جا سکے۔

ستمبر 2023 میں، ٹورنٹو یونیورسٹی کی سٹیزن لیب نے ایپل کو خبردار کیا۔ دو بغیر کلک صفر دن کی کمزوریاں iOS میں کہ نگرانی کے سافٹ ویئر کے ایک فروش نے پریڈیٹر سپائیویئر ٹول کو آئی فون پر چھوڑنے کے لیے استحصال کیا تھا جس کا تعلق واشنگٹن، ڈی سی میں قائم ایک تنظیم کے ملازم سے تھا۔ اسی مہینے، سٹیزن لیب کے محققین نے ایک علیحدہ صفر دن کے استحصالی سلسلہ کی بھی اطلاع دی - جس میں ایک سفاری بگ شامل تھا - انہوں نے iOS آلات کو نشانہ بنانے کا پتہ لگایا تھا۔

گوگل نے حال ہی میں کچھ مواقع پر کروم میں تقریباً ایپل کے ساتھ مل کر اسی طرح کے خدشات کو جھنڈا دیا ہے۔ ستمبر 2023 میں، مثال کے طور پر، اسی وقت ایپل نے اپنے صفر دن کے کیڑے کا انکشاف کیا، گوگل کے خطرے کے تجزیہ گروپ کے محققین نے Intellexa نامی ایک تجارتی سافٹ ویئر کمپنی کو ایک استحصالی سلسلہ تیار کرنے کے طور پر شناخت کیا - جس میں ایک کروم زیرو ڈے شامل تھا۔CVE-2023-4762) — پریڈیٹر کو اینڈرائیڈ ڈیوائسز پر انسٹال کرنے کے لیے۔ ابھی کچھ دن پہلے، گوگل نے کروم میں ایک اور صفر دن کا انکشاف کیا تھا (CVE-2023-4863) اسی امیج پروسیسنگ لائبریری میں جس میں ایپل نے صفر دن کا انکشاف کیا تھا۔

براؤزر سیکیورٹی فرم مینلو سیکیورٹی کے چیف سیکیورٹی آرکیٹیکٹ لیونل لیٹی کا کہنا ہے کہ فی الحال دستیاب محدود معلومات کے پیش نظر یہ کہنا مشکل ہے کہ آیا گوگل اور ایپل کے 2024 کے پہلے براؤزر کے درمیان کوئی تعلق ہے یا نہیں۔ "Chrome CVE JavaScript انجن (v8) میں تھا اور Safari ایک مختلف JavaScript انجن استعمال کرتا ہے،" Litty کہتے ہیں۔ "تاہم، مختلف نفاذ کے لیے بہت یکساں خامیوں کا ہونا کوئی معمولی بات نہیں ہے۔"

لٹی کا کہنا ہے کہ ایک بار جب حملہ آوروں کو ایک براؤزر میں نرم جگہ مل جاتی ہے، تو وہ اسی علاقے میں دوسرے براؤزرز کی تحقیقات کے لیے بھی جانے جاتے ہیں۔ "لہذا، اگرچہ اس بات کا امکان نہیں ہے کہ یہ بالکل وہی خطرہ ہے، یہ زیادہ حیرت کی بات نہیں ہوگی کہ اگر جنگل میں ہونے والے دونوں کارناموں کے درمیان کچھ مشترکہ ڈی این اے موجود ہو۔"

زیرو آور براؤزر پر مبنی فشنگ حملوں میں دھماکہ

نگرانی فروش، اب تک، صرف وہی نہیں ہیں جو عام طور پر براؤزر کی کمزوریوں اور براؤزرز کا استحصال کرنے کی کوشش کر رہے ہیں۔ مینلو سیکیورٹی کی جانب سے جلد ہی جاری ہونے والی رپورٹ کے مطابق، سال کے پہلے چھ مہینوں کے مقابلے 198 کی دوسری ششماہی میں براؤزر پر مبنی فشنگ حملوں میں 2023 فیصد اضافہ ہوا ہے۔ ایویسیو حملے - ایک زمرہ جسے مینلو روایتی سیکیورٹی کنٹرول سے بچنے کے لیے تکنیک استعمال کرنے کے طور پر بیان کرتا ہے - 206% تک زیادہ اضافہ ہوا، اور 30 کے دوسرے نصف حصے میں تمام براؤزر پر مبنی حملوں کا 2023% حصہ تھا۔

30 دن کی مدت کے دوران، مینلو کا کہنا ہے کہ اس نے 11,000 سے زیادہ نام نہاد "صفر گھنٹے" براؤزر پر مبنی فشنگ حملوں کا مشاہدہ کیا ہے جو سیکیور ویب گیٹ وے اور دوسرے اختتامی نقطہ خطرے کا پتہ لگانے والے ٹولز سے بچتے ہیں۔

مینلو نے آنے والی رپورٹ میں کہا کہ "براؤزر ایک کاروباری ایپلی کیشن ہے جس کے بغیر کاروبار نہیں رہ سکتے، لیکن یہ سیکیورٹی اور انتظامی نقطہ نظر سے پیچھے رہ گیا ہے۔"

• SEO سے چلنے والا مواد اور PR کی تقسیم۔ آج ہی بڑھا دیں۔
• پلیٹو ڈیٹا ڈاٹ نیٹ ورک ورٹیکل جنریٹو اے آئی۔ اپنے آپ کو بااختیار بنائیں۔ یہاں تک رسائی حاصل کریں۔
• پلیٹوآئ اسٹریم۔ ویب 3 انٹیلی جنس۔ علم میں اضافہ۔ یہاں تک رسائی حاصل کریں۔
• پلیٹو ای ایس جی۔ کاربن، کلین ٹیک، توانائی ، ماحولیات، شمسی، ویسٹ مینجمنٹ یہاں تک رسائی حاصل کریں۔
• پلیٹو ہیلتھ۔ بائیوٹیک اینڈ کلینیکل ٹرائلز انٹیلی جنس۔ یہاں تک رسائی حاصل کریں۔
• ماخذ: https://www.darkreading.com/cyberattacks-data-breaches/days-after-google-apple-discloses-actively-exploited-0-day-in-its-browser-engine