जंगल में पकड़ा गया NSO Group का iPhone zero-click, zero-day exploit

 (citizenlab.ca)
1 पॉइंट द्वारा GN⁺ 2023-09-08 | 1 टिप्पणियां | WhatsApp पर शेयर करें
  • Apple ने iPhone, iPad, Mac कंप्यूटर और Apple Watch सहित अपने प्रोडक्ट्स के लिए अपडेट जारी किए, जो NSO Group के Pegasus spyware द्वारा इस्तेमाल की गई zero-click vulnerability को ठीक करते हैं
  • वॉशिंगटन DC स्थित एक नागरिक समाज संगठन के एक व्यक्ति के स्वामित्व वाले डिवाइस पर Citizen Lab ने BLASTPASS नामक exploit पाया
  • BLASTPASS पीड़ित की किसी भी interaction के बिना, iMessage के जरिए भेजी गई malicious image का उपयोग करके, नवीनतम iOS version (16.6) चलाने वाले iPhone को compromise कर सकता है
  • Citizen Lab ने अपनी खोज Apple को बताई और जांच में सहयोग किया, जिसके परिणामस्वरूप इस exploit chain से संबंधित दो CVEs (CVE-2023-41064 और CVE-2023-41061) जारी किए गए
  • उपयोगकर्ताओं को सलाह दी गई है कि वे तुरंत अपने डिवाइस अपडेट करें और Lockdown Mode सक्षम करने पर विचार करें, जिसके बारे में ज्ञात है कि यह इस खास हमले को ब्लॉक करता है
  • BLASTPASS की खोज इस बात के महत्व को रेखांकित करती है कि नागरिक समाज संगठनों का समर्थन किया जाए, जो अक्सर जटिल cyber threats के लिए शुरुआती चेतावनी प्रणाली के रूप में काम करते हैं
  • Apple के अपडेट आम उपयोगकर्ताओं, कंपनियों और दुनिया भर की सरकारों के डिवाइस को सुरक्षित रखने में मदद करेंगे

संबंधित पढ़ाई

1 टिप्पणियां

 
GN⁺ 2023-09-08
Hacker News राय
  • NSO Group के iPhone zero-click, zero-day exploit पर लेख की चर्चा
  • कुछ उपयोगकर्ताओं को यह दिलचस्प लगा कि Lockdown मोड, बैटरी बचत जैसे संभावित फायदों के बावजूद, केवल उन उपयोगकर्ताओं के लिए सुझाया जाता है जो सीधे जोखिम में हैं
  • इस exploit में image decoding में buffer overflow शामिल है, जो 2021 के पिछले exploit जैसा है
  • iMessage में मौजूद exploits की संख्या को लेकर चिंता है, और यह सुझाव दिया गया है कि नए contacts से आने वाले पहले संदेश को plain text तक सीमित किया जाए और बाकी संदेशों को बहुत सीमित subset तक रखा जाए
  • लेख में उल्लेख है कि exploit का fix घोषणा वाले उसी दिन जारी किया गया, और उपयोगकर्ताओं से update लागू करने का आग्रह किया गया
  • कुछ उपयोगकर्ताओं का मानना है कि NSO Group का Commerce Department की blacklist में होना पर्याप्त नहीं है और उसे इससे अधिक कड़ी सज़ा मिलनी चाहिए
  • इस बारे में अटकलें हैं कि क्या Lockdown मोड इस हमले को रोक सकता था, और क्या किसी पर zero-day vulnerability का उपयोग करके hacking attack किया गया है
  • कुछ उपयोगकर्ताओं ने हैरानी जताई कि अक्सर पीड़ितों (Apple के iMessage और उसके उपयोगकर्ताओं) की बजाय हमलावरों (NSO और उसके उपयोगकर्ताओं) को कम दोष दिया जाता है, साथ ही यह सुझाव भी दिया गया कि NSO को cyber terror group घोषित किया जाना चाहिए
  • लेख में इस पर चल रहे thread का भी उल्लेख है कि iOS 16.6.1 जंगली परिवेश में सक्रिय रूप से शोषित की जा रही दो vulnerabilities को ठीक करता है
  • कुछ उपयोगकर्ताओं ने updates की आवृत्ति और exploits की संभावना को देखते हुए Android phones की सुरक्षा पर चिंता व्यक्त की
  • यह सवाल उठाया गया कि क्या Apple के पास ऐसे exploit के पीड़ितों का पता लगाने और security fix जारी होने पर उपयोगकर्ताओं को सूचित करने का कोई तरीका है