عذرًا إدوارد سنودن.. تطبيق الدردشة المفضل لديك قابل للاختراق أيضًا

برنامج سيجنال للكمبيوتر
0

يميل العديد من الأشخاص لاستخدام تطبيق سيجنال المجاني نظراً لأنه يتيح تشفير كافة البيانات أثناء إرسال الرسائل النصية والصور ومقاطع الفيديو وإجراء المكالمات الهاتفية، ويوفر الخصوصية ويحافظ على أمن مستخدميه بحيث تبقى البيانات فقط بين المرسل والمتلقي. فإن كنت منهم فهل تعتقد أنّك بمنأى عن التعرض للتجسس؟ الجواب هو لا. وإليك السبب:

اكتشف فريق lلقبعات البيضاء – وهو عبارة عن مجموعة من الباحثين المتخصصين في قرصنة الإنترنت ومقرها الأرجنتين – ثغرتين في تطبيق سيجنال للدردرشة (CVE-2018-10994 و CVE-2018-11101) تمكِّن قراصنة الإنترنت من اختراق تطبيق سيجنال المتاح على أجهزة الحاسب التي تستخدم نظامي التشغيل windows و Linux وذلك بغية التجسس على مستخدميه. فما هي آليّة عمل كلّ من هاتين الثغرتين؟

آليّة عمل CVE-2018-10994

اكتُشفت هذه الثغرة عن طريق الصدفة عندما قام أحدهم، وذلك أثناء استخدام تطبيق سيجنال، بمشاركة رابط لموقع يحتوي على XSS في لاحقته، وهو موقع يتيح لقراصنة الإنترنت إدخال رمز إلكتروني إلى تطبيقات الإنترنت القابلة للاختراق على أجهزة الحاسب. وبعد إجراء العديد من التجارب، توصّل فريق الباحثين إلى أنّ الثغرة تكمن في الخاصية التي تتعامل مع الروابط وتسمح للقراصنة بإدخال كود HTML/JavaScript المعرفة من قبل المستخدم إلى تطبيق سيجنال عند إرسال ملفات صورة أو فيديو أو أوديو عبر التطبيق على أجهزة الحاسب.

ثغرة XSS

وإن كنت تتساءل عن مخاطر CVE-2018-10994 فهي:

يمكن لهذه الثغرة أن تسمح لقراصنة الإنترنت بإدخال رمز إلكتروني عن بُعد إلى تطبيق سيجنال على حواسب المستخدمين وذلك فقط عبر إرسال رابط لهم، والخطر يكمن في أنّ الرمز يمكن إدخاله إلى التطبيق دون التفاعل من قبل المتلقي، فلا حاجة له لفتح الرابط أو الضغط على أي مفتاح. ويمكن أن تتخذ هذه الهجمة الإلكترونية طابعاً اجتماعياً حيث يطلب المتسللون من مستخدمي التطبيق ملء صيغة تظهر عند فتح نافذة الدردشة بهدف خداعهم والحصول على بياناتهم الخاصة، وتوقعوا أيضاً أن هذه الثغرة يمكن أن تسمح لهم أيضاً بتعطيل أوامر نظام الحاسب أو الحصول على معلومات هامة تمكّنهم من فك الشيفرة.

 

آلية عمل CVE-2018-1110

وفي أقل من مرور أسبوع على اكتشاف الثغرة الأولى، اكتشف فريق الباحثين ذاته ثغرة ثانية في تطبيق سيجنال تؤثر في الخاصية التي تفعّل الرسائل المقتبسة أي عندما تقتبس رسالة أحدهم بهدف الرد عليها. فكل ما على المتسلل فعله هو إرسال رسالة تحوي كود HTML/javascript للضحية ومن ثم يقتبس أو يرد على نفس الرسالة بأي رد فيقوم باختراق التطبيق!!

فماذا عن مخاطر CVE-2018-1110:

مخاطر هذه الثغرة شبيهة لمخاطر الثغرة التي تم اكتشافها مسبقاً، حيث تسمح للقراصنة بإدخال كود ضار إلى تطبيق سيجنال على حواسب المستخدمين وذلك فقط عبر إرسال رسالة لهم وأيضاً دون طلب التفاعل من قبل المتلقي فلا حاجة له لفتح الرسالة أو الضغط على أي مفتاح. وهذه الثغرة تسمح للمتسللين بسرقة محتوى دردشاتك وتمكّنهم من سرقة كلمات المرور أيضاً وبالتالي اختراق أو تعطيل نظام تشغيل الحاسب.

 

كيف تتجنب تلك المخاطر؟

CVE-2018-10994: قام مطوّرو سيجنال بسد الثغرة على الفور. ققد وجدوا أنّ طريقة سد هذه الثغرة هي خاصية regex لتفعيل روابط الإنترنت والتي كانت متوفرة في النسخ السابقة لتطبيقات سيجنال للحواسيب، ولكن كان قد تمّ تجاهلها أو حذفها بطريقة ما في تحديث سيجنال الذي تم إطلاقه في العاشر من نيسان/إبريل هذا العام. ولذلك إن كنت من مستخدمي تطبيق سيجنال فاحرص على تحديث التطبيق باستمرار وحصولك على آخر تحديث لاحتوائه على خاصية regex.

CVE-2018-11101: تمّ تجاوز هذه الثغرة أيضاً من خلال إطلاق نسخة سيجنال 1.11.0 للحاسب وذلك لمستخدمي أنظمة التشغيل Windows وLinux وmacOS. وبما أنّه يتم تحديث تطبيق سيجنال تلقائياً على الحاسب عند الاتصال بشبكة الإنترنت فلذلك إن كنت من مستخدمي تطبيق سيجنال لا داعي للقلق فلابدّ أنك حصلت على آخر تحديث للتطبيق.

حتى رغم توصية إدوارد سنودن به بفعل الأمان العالي… إلا أنه بالفعل لا يوجد شيء منيع ضد الاختراق هذه الأيام!!

0

شاركنا رأيك حول "عذرًا إدوارد سنودن.. تطبيق الدردشة المفضل لديك قابل للاختراق أيضًا"