ओपेरा भेद्यता को बंद करने की जल्दी में है?

अगर आपको लगता है कि आप एचटीएमएल भाषा और ब्राउज़रों के सिद्धांतों से परिचित हैं, तो अपने लिए सवाल का जवाब देने के लिए अभी प्रयास करें - क्या IMG टैग के माध्यम से डाली गई तस्वीर उस पृष्ठ को पुनर्निर्देशित कर सकती है जिस पर इसे डाला गया है? एक अजीब सवाल, आप कहते हैं। फिर भी, इसका उत्तर "नहीं" के रूप में स्पष्ट नहीं है क्योंकि यह पहली नज़र में लगता है। ओपेरा ब्राउज़र में, यह संभव है, जो उपयोगकर्ता खातों के अपहरण के लिए गतिविधि का एक विशाल क्षेत्र देता है, विशेष रूप से इस तथ्य को देखते हुए कि भेद्यता अभी भी बंद नहीं हुई है। और ओपेरा कंपनी के बयानों के अनुसार, यह अनिश्चित समय के लिए बंद रहेगा।

भेद्यता क्या है, साथ ही इस विषय पर ओपेरा की आधिकारिक राय - कट के तहत।
(पोस्ट खोलने के दौरान ओपेरा के उपयोगकर्ताओं को रीडायरेक्ट के लिए तैयार किया जाना चाहिए, क्योंकि टिप्पणियों में उन्होंने भेद्यता की जांच करने का फैसला किया है)

अक्टूबर की शुरुआत में, ओपेरा 12 ब्राउज़र में एक भेद्यता की खोज की गई थी , जो आपको सम्मिलित छवि के माध्यम से आगंतुक को किसी अन्य साइट पर पुनर्निर्देशित करने की अनुमति देता है और एक निश्चित तरीके से दिए गए हेडर। इस भेद्यता के माध्यम से हमला सबसे बड़ी रनट साइटों से गुजरने में कामयाब रहा, जिससे आप URL के माध्यम से छवियों को एम्बेड कर सकते हैं (उदाहरण के लिए, rutracker - लिंक )। जिन साइटों का मैं स्वयं समर्थन करता हूं उन पर भी हमला किया गया है।

यह कैसे काम करता है

यदि पृष्ठ के कोड को खोला जा रहा है, तो एक हमलावर फॉर्म का टैग लगा सकता है:

(जहाँ bad.com एक सर्वर द्वारा नियंत्रित है)
और अनुरोध पर दे evil.com/evil.png evil.com/evil.png निम्नलिखित शीर्षक:

Refresh: 0; url=data:application/internet-shortcut,[INTERNETSHORTCUT]%0D%0AURL=http://evil.com/

तब ओपेरा ब्राउज़र, उपयोगकर्ता से पूछे या चेतावनी दिए बिना, इस पते पर जाएगा।

और पहले से ही कुछ भी हो सकता है, हमला किए गए संसाधन के डिजाइन में लॉगिन और पासवर्ड इनपुट फॉर्म से शुरू हो सकता है। मेरी साइटों के मामले में - उन्होंने अपना फोन नंबर दर्ज करने की मांग की (मुझे समझ नहीं आया कि उन्हें इसकी आवश्यकता क्यों थी)।

सभी साइटें समर्थित हैं जो उपयोगकर्ताओं को URL के माध्यम से अपनी छवियों को एम्बेड करने की अनुमति देती हैं, और यह लगभग हर जगह संभव है, phpbb, LiveJournal, Habrahabr (!) पर मंचों से शुरू होकर mail.ru में अक्षरों के साथ समाप्त होता है (जहां पत्र में चित्र डिफ़ॉल्ट रूप से लोड होते हैं)।

आधिकारिक जवाब ओपेरा

रूस इल्या शापानकोव ( shpankov ) और rutracker.org प्रशासन में ओपेरा के प्रतिनिधि के बीच बातचीत में निम्नलिखित बयान दिए गए:
"जैसा कि यह पता चला है, ओपेरा में कोई भेद्यता नहीं है और समस्या ब्राउज़र में त्रुटियों का परिणाम नहीं है, लेकिन ओपेरा डेवलपर्स के साथ हमने भविष्य में ऐसी समस्याओं से बचने के लिए एक समाधान ढूंढ लिया, और यह समाधान ओपेरा 12.1 के जल्द ही अपेक्षित संस्करण में लागू किया जाएगा।"

उन्होंने ओपेरा सॉफ्टवेयर तकनीकी विशेषज्ञों के हवाले से कहा:
जब भी वे कुछ गलत कर रहे हों, तो साइटों की मदद के लिए ओपेरा में हमारा यह रिवाज है। इसलिए, ओपेरा 12.10 में, हम टैग के अंदर लोड की गई सामग्री में शॉर्टकट का पालन करेंगे। यह वही है जो ब्राउज़र को वेबसाइट की अपेक्षाओं के अनुसार करना चाहिए, हालांकि वास्तव में यह व्यवहार किसी भी मानक द्वारा वर्णित नहीं है। इसलिए हम वही करेंगे जो वे बहुत जल्द चाहते हैं। ”

निष्कर्ष

ओपेरा के प्रतिनिधि, ऐसा लगता है, यह बिल्कुल नहीं समझता है कि ब्राउज़र सुरक्षा क्या है और इस बग को स्पष्ट खतरा नहीं दिखता है। या एक बुरे खेल के साथ एक अच्छा चेहरा बनाने की कोशिश कर रहा है, क्योंकि व्यक्तिगत रूप से, यह संभावना नहीं है कि कुछ उस पर निर्भर करता है और वह इस बग के सुधार में तेजी लाने में असमर्थ है, इसलिए वह इस मुश्किल स्थिति में ब्राउज़र के चेहरे को बचाने की कोशिश कर रहा है।
मुझे ऐसा लगता है कि कोई व्यक्ति जो वास्तव में ब्राउज़रों के काम में कुछ भी नहीं समझता है, ऐसी स्थिति के लिए स्वीकार नहीं किया जाएगा, इसलिए मुझे यकीन है कि उसका व्यवहार दूसरे परिदृश्य के अनुसार चल रहा है।

एक पूरे के रूप में स्थिति के लिए, सब कुछ बहुत दुखद है। ओपेरा ब्राउज़र वर्तमान में RuNet में लगभग 15% है, जबकि यह खुले तौर पर कहा गया है कि "शेरिफ की समस्याएं नीग्रो को परेशान नहीं करती हैं" और शैतान की साइटों के पुनर्निर्देशन से पता चलता है कि "भेद्यता उपयोगकर्ता के ज्ञान के बिना नहीं है"।
स्पष्ट उपयोगकर्ता समस्याएं, डेवलपर्स किसी कारण से "साइट मालिकों" की समस्याओं को बुलाते हैं। हालांकि उनके उत्पाद का उपयोग साइट के मालिकों द्वारा नहीं किया जाता है, लेकिन उन लोगों द्वारा किया जाता है जिनके ओपेरा ब्राउज़र व्यक्तिगत जानकारी को खतरे में डालते हैं।

हां, वे कहते हैं कि अगली ब्राउज़र रिलीज़ (12.10 स्थिर?) में भेद्यता तय की जाएगी, लेकिन वे इसकी रिलीज़ के लिए एक विशिष्ट समयरेखा नहीं देते हैं। इस बीच, कोई भी - हैकर भी नहीं - कोई भी, इस भेद्यता के बारे में जानकारी का उपयोग करके (हाल ही में RuTracker पर प्रकाशित), इस ब्राउज़र के उपयोगकर्ताओं के लिए वास्तविक समस्याएँ और पीड़ाएँ हो सकती हैं।