पिक्सेल स्वामियों को डिफ़ॉल्ट मार्कअप टूल का उपयोग करके अपने स्क्रीनशॉट संपादित करने का सामना करना पड़ा है। पेंट इनपुट किसी भी चीज़ को रिडैक्ट करने में बहुत अच्छा नहीं है, भले ही आप किसी स्पॉट को वास्तविक रूप से साफ़ करते हैं, और क्रॉप टूल में किसी प्रीसेट पहलू अनुपात की कमी है। लेकिन एक और कारण है कि आपको मार्कअप का उपयोग क्यों नहीं करना चाहिए और यही कारण है कि आप यह देखना चाहते हैं कि आपने अपनी छवियां कहां और किसे भेजी हैं।
शोधकर्ता साइमन आरोन्स और डेविड बुकानन एक शोषण के साथ सार्वजनिक हो गए हैं, जिसे वे “एक्रॉपलिप्स” करार दे रहे हैं, जो संक्षेप में, किसी को भी एंड्रॉइड के डिफ़ॉल्ट मार्कअप टूल में क्रॉप किए गए पीएनजी स्क्रीनशॉट लेने की अनुमति देता है और कम से कम कुछ संपादनों को छवि के हिस्से बनाने के लिए पूर्ववत करता है। जो देखने के लिए नहीं थे। जबकि Google को शोषण की सूचना दी गई थी और पिक्सेल के लिए मार्च सुरक्षा अद्यतन में पैच किया गया है (CVE-2023-21036 देखें), कुछ प्लेटफार्मों पर भेजे गए संशोधित चित्र – सहित, लेकिन जनवरी के मध्य से पहले तक सीमित नहीं – पिछले कई के माध्यम से वर्षों उजागर होने का खतरा हो सकता है।
आप acropalypse शोधकर्ताओं द्वारा प्रदान किए गए इस प्रदर्शन उपकरण का उपयोग करके अपनी स्वयं की छवियों के साथ कार्रवाई में शोषण देख सकते हैं। हमें इस वेबपेज पर इसके प्रकाशन से पहले शोधकर्ताओं द्वारा इस शोषण की खोज और पैचिंग के बारे में और जानकारी भी दी गई है।
क्या गलत है, मानव अनुकूल संस्करण
शोषण के तकनीकी पहलू एंड्रॉइड 10 में एक एपीआई में बदलाव से उपजी प्रतीत होते हैं (2021 से इस इश्यूट्रैकर थ्रेड को देखें और Redditor OatmealDome से एक सामान्य स्पष्टीकरण)। परिवर्तन से पहले, एक मौजूदा फ़ाइल में नया डेटा लिखने का काम करने वाला ऐप डिफ़ॉल्ट रूप से उक्त फ़ाइल को छोटा कर देगा यदि उस नए डेटा की मात्रा मूल फ़ाइल की तुलना में कम थी। परिवर्तन के साथ, वह ट्रंकेशन व्यवहार अब डिफ़ॉल्ट नहीं था।
इसलिए, यदि नए डेटा की मात्रा मौजूदा फ़ाइल की तुलना में कम थी, क्योंकि डेटा-लेखन क्रमिक रूप से होता है, तो मौजूदा फ़ाइल का पिछला सिरा नई फ़ाइल के हिस्से के रूप में बरकरार रहेगा। इस परिवर्तन ने कुछ नकारात्मक परिणाम प्रस्तुत किए: यदि पुराना डेटा नई फ़ाइल के लिए अनावश्यक था, तो यह कम से कम कीमती संग्रहण स्थान ले रहा होगा; यदि डेटा एक संवेदनशील प्रकृति का था, तो सही उपकरण वाले लोग दुर्भावनापूर्ण उपयोगों के लिए इसे स्वयं ही पढ़ और निकाल सकते थे।
जबकि इस मुद्दे को अंततः “निश्चित” माना गया था – जहाँ तक हम बता सकते हैं, लेखन मोड पर मार्गदर्शन बदल गया है जिसका उपयोग ऐप्स को करना चाहिए – मार्कअप टूल ने अभी भी इस असंबद्ध लेखन मोड का उपयोग किया है।
साभार: एक्रोपालिप्से
हारून ने 2 जनवरी को पीएनजी स्क्रीनशॉट (जेपीईजी नहीं) के संबंध में इस भेद्यता पर बुकानन से परामर्श किया और बुकानन वर्तमान शोषण के लिए अवधारणा का प्रमाण जल्दी से विकसित करने में सक्षम था। दोनों ने उसी दिन Google को बग के बारे में सूचित किया। कंपनी ने 3 जनवरी को बग को स्वीकार किया। 24 जनवरी को एक फिक्स को आंतरिक रूप से अंतिम रूप दिया गया था, लेकिन यह महीने के सुरक्षा पैच के साथ 13 मार्च तक पिक्सेल उपकरणों पर जाना शुरू नहीं हुआ था।
इंजीनियर ने वास्तविक गतिविधियों के बारे में अपने व्यक्तिगत ब्लॉग पर पोस्ट किया है, लेकिन एक उच्च-स्तरीय दृष्टिकोण से, यहाँ क्या हो रहा है: PNG एक फ़ाइल प्रारूप के रूप में कुछ प्रक्रियाओं के माध्यम से ब्लॉक की एक श्रृंखला में डेटा को संपीड़ित करता है। संपीड़ित डेटा का कोई भी दिया गया ब्लॉक मई डेटा के पिछले ब्लॉक के संदर्भ होते हैं, सैद्धांतिक रूप से डेटा के पिछले ब्लॉकों को एक-एक करके विघटित करने का मार्ग प्रशस्त करते हैं। इस प्रकार, बुकानन एक डीकंप्रेसन विधि विकसित करने में सक्षम था जो उस लुक-बैक पहलू को कुछ क्रिप्टोग्राफ़िक जासूसी कार्य के साथ जोड़ती है, जो अक्षुण्ण, कैरी-ओवर फ़ाइल डेटा पर ध्यान केंद्रित करता है ताकि संदर्भ प्राप्त किया जा सके।
प्रभाव
जैसा कि आप अब तक जानते हैं, परिणाम यह है कि मार्कअप टूल में संपादित छवि में कुछ जानकारी के साथ तथ्य के बाद मूल, असंपादित छवि के अंश हो सकते हैं। पिक्सेल के अलावा, कुछ गैर-पिक्सेल Android डिवाइस और कस्टम रोम भी मार्कअप का उपयोग करते हैं।
जबकि अधिकांश ऑनलाइन प्लेटफ़ॉर्म उपयोगकर्ता द्वारा अपलोड की गई छवियों पर अपने स्वयं के प्रसंस्करण (जैसे आगे संपीड़न या मेटाडेटा को अलग करना) का प्रदर्शन करेंगे, इस शोषण को काम करने से रोकने के लिए डिस्कॉर्ड छवि अपलोड को पर्याप्त रूप से संसाधित नहीं कर रहा था। aCropalypse के शोधकर्ताओं का कहना है कि इंस्टेंट चैट ऐप ने 17 जनवरी को फाइलों से डेटा निकालना शुरू कर दिया था। लेकिन इसका मतलब यह है कि 2019 के अंत तक मार्कअप-संपादित छवियां सार्वजनिक देखने के लिए अभिप्रेत जानकारी को प्रकट करने के लिए असम्पीडित हो सकती हैं।
जबकि डिस्कॉर्ड के पास समृद्ध खोज उपकरण हैं जो उपयोगकर्ताओं को उनके द्वारा साझा की गई छवि फ़ाइलों को खोजने में मदद कर सकते हैं, आपके पास छानबीन करने के लिए बहुत सारी गैर-स्क्रीनशॉट सामग्री हो सकती है और आपके द्वारा भेजा गया प्रत्येक स्क्रीनशॉट शोषक नहीं हो सकता है – हमने एक पिक्सेल पर एक स्क्रीनशॉट का परीक्षण किया डेमो टूल के खिलाफ 6a और परिणाम नहीं मिल सका, लेकिन हमने अन्य उपयोगकर्ताओं को नोट किया है जिन्होंने व्यावहारिक निष्कर्षों की ऑनलाइन रिपोर्ट की है।
बुकानन ने अपने ब्लॉग पोस्ट में कहा कि उन्होंने किसी भी कमजोर छवियों के लिए अपने डिस्कॉर्ड अपलोड को खंगालने के लिए एक स्क्रिप्ट लिखी और “उनमें से बहुत सारे” पाए। जबकि अधिकांश आम तौर पर हानिरहित थे, उसके पास ईबे ऑर्डर का एक स्क्रीनशॉट था और वह इससे अपना पूरा डाक पता निकालने में सक्षम था।
