Google Chrome में भेद्यता Adobe Flash में भेद्यता साबित हुई

इस हफ्ते, इंटरनेट ने उन खबरों को छेड़ दिया, जिसमें PUPn2Own प्रतियोगिताओं में प्रसिद्ध कंपनी VUPEN के विशेषज्ञ Google Chrome ब्राउज़र के सैंडबॉक्स से बाहर निकले और विशेष रूप से तैयार पृष्ठ के माध्यम से विंडोज कैलकुलेटर को कॉल करके मनमाना कोड निष्पादित किया। हमले की एक विशेषता न केवल ब्राउज़र के सैंडबॉक्स को बायपास करना था, बल्कि विंडोज 7 - एएसएलआर और डीईपी के सुरक्षा तंत्र भी थे। हमले के विवरण का खुलासा नहीं किया गया था (अधिक सटीक रूप से, कंपनी ने उन्हें विशेष रूप से सरकारी एजेंसियों और उसके ग्राहकों के लिए खुलासा किया), जिससे वेब पर अलग-अलग अफवाहें हुईं, जो कि नकली वीडियो की घोषणा तक सही थीं। हब्रहाब पर, येवगेनी ज़ारकोव और व्लादिमीर युनेव ने एकमात्र वीडियो की प्रामाणिकता के बारे में संदेह व्यक्त किया जहां ब्राउज़र हैकिंग का प्रदर्शन किया गया था।

फिर भी, फ्रांसीसी हैकर्स ने वास्तव में ब्राउज़र को हैक कर लिया था, लेकिन जैसा कि यह न केवल ब्राउज़र को ही चालू करता था, बल्कि एडोब फ्लैश प्लेयर। ब्राउज़र डेवलपर तवीस ओरमंडी ने वीयूपीएन पर Google क्रोम सैंडबॉक्स के तंत्र को कम आंकने का आरोप लगाया , और पत्रकारों को स्थिति को बढ़ा-चढ़ाकर पेश किया (वास्तव में, महत्वपूर्ण छेद) और कंपनी उन्हें सबसे कम से लेकर उच्चतम, निम्न, मध्यम, उच्च खतरे की डिग्री के अनुसार समूह बनाती है। (महत्वपूर्ण) Google Chrome असामान्य नहीं है, और कंपनी ने आधिकारिक ब्लॉग पर उनका वर्णन करते हुए उन्हें छिपाया नहीं है, लेकिन पत्रकारों को अचानक इस भेद्यता में दिलचस्पी थी)। एक अन्य ब्राउज़र डेवलपर क्रिस इवांस ने कहा कि चूंकि भेद्यता को निष्पादित करने के लिए अतिरिक्त प्लग-इन की आवश्यकता होती है, यह ब्राउज़र की समस्या नहीं है। उसी राय को जेडडीनेट प्रकाशन एड्रियन किंग्सले-ह्यूजेस के पत्रकार का समर्थन है, जो स्थिति की बारीकी से निगरानी कर रहा है। हालाँकि, मैं क्रिस या एड्रियन से सहमत नहीं हो सकता। जैसा कि आप जानते हैं, Google वितरण पैकेज में एक मॉड्यूल शामिल करने के लिए एडोब के साथ एक विशेष समझौते पर पहुंचा है, साथ ही पीडीएफ देखने और सैंडबॉक्स में एडोब फ्लैश एम्बेड करने के लिए प्राथमिकता अपडेट और संयुक्त कार्य के लिए। इसलिए, VUPEN के विशेषज्ञों ने Google Chrome को हैक किया, या बल्कि, वह घटक जो ब्राउज़र के साथ निष्क्रिय रूप से चला जाता है। हालाँकि, यदि हैकर्स क्रोमियम वैनिला डिस्ट्रीब्यूशन को हैक किए गए Google क्रोम की तरह ही लेते हैं, तो उनके शोषण में कोई कमी नहीं आएगी, क्योंकि इसके लिए फ्लैश की आवश्यकता होगी। फिर भी, Google को ध्यान से सोचने की ज़रूरत है कि प्लगइन की सुरक्षा कैसे सुनिश्चित की जाए, क्योंकि सैंडबॉक्स ने भी ब्राउज़र को शोषण से नहीं बचाया। यह डिफ़ॉल्ट रूप से फ़्लैश सामग्री के लॉन्च को अवरुद्ध करने के लायक हो सकता है, जैसा कि जावा / IcedTea के साथ किया जाता है, या उपयोगकर्ता को खोज इंजन स्थापित करने के बारे में अधिसूचना के समान प्लग-इन चलाने की सुविधा देता है, जो आपको फ्लैश के फायदे और क्षमताओं के बारे में सूचित करेगा, संभव के बारे में एक नोट के साथ। सुरक्षा के मुद्दे।

ZDNet और पॉडकास्ट jeje और XaocCPS पर आधारित है।