برطرف سازی باگ اکروپالیپس توسط مایکروسافت

به گزارش کارگروه امنیت خبرگزاری سایبربان، هفته گذشته، محققان امنیت سایبری، سایمون آرونز و دیوید بوکانن، آسیب‌پذیری اکروپالیپس (aCropalypse) در ابزار ویرایش اسکرین‌شات داخلی پیکسل، مارکاپ (Markup) را گزارش کرده بودند که به هر کسی اجازه می‌داد تا حدی داده‌های تصویر ویرایش‌نشده اصلی یک اسکرین‌شات برش‌خورده یا ویرایش‌شده را بازیابی کند.
آنها حتی یک وب سایت ایجاد کردند که در آن افراد می توانستند یک اسکرین شات آپلود کنند و احتمالاً نسخه اصلی را ببینند.
بوکانن بعداً در توییتر فاش کرد که این مشکل - که با نام CVE-2023-21036 ردیابی می شود - بر ابزار برش در ویندوز (Snipping Windows) نیز تأثیر گذاشته است. طبق گفته بوکانان که آن را روی ویندوز 11 آزمایش کرده است، همان اسکریپت اکسپلویت با تغییرات جزئی کار می کند. ویل دورمن، کارشناس امنیت سایبری تأیید می کند که این مشکل در ویندوز 11 و همچنین ابزار اسنیپ اند اسکچ (Snip & Sketch) در ویندوز 10 ظاهر شده است.
مایکروسافت ابتدا به خبرگزاری ریکورد گفته بود که در حال بررسی این مشکل است و سخنگوی آن بعدا تایید کرد که این آسیب‌پذیری برطرف شده است.
یکی از سخنگویان مایکروسافت می گوید:

ما یک به‌روزرسانی امنیتی برای این ابزارها از طریق CVE-2023-28303 منتشر کرده‌ایم. ما به مشتریان توصیه می کنیم این به روز رسانی را اعمال کنند.

بوکانن به ریکورد می گوید که او به رفع مشکل نگاه کرده و تأیید کرده است که این مشکل را برطرف می کند.
محققان می گویند که نگرانی اصلی تصاویری است که شامل جنبه های عمدی ویرایش شده مانند پلاک ها یا کارت های اعتباری است.
مایکروسافت اعلام کرده است که به این آسیب‌پذیری درجه‌بندی با شدت پایینی داده است، زیرا استثمار موفقیت‌آمیز، به تعامل غیرمعمول کاربر و چندین عامل خارج از کنترل مهاجم نیاز دارد.
مایکروسافت می گوید که برای اینکه یک تصویر در معرض این مشکل قرار گیرد، کاربر باید آن را تحت شرایط خاصی ایجاد کرده باشد: کاربر باید یک اسکرین شات بگیرد، آن را در یک فایل ذخیره کند، فایل را تغییر دهد (مثلاً آن را برش دهد)، و سپس فایل تغییر یافته را ذخیره کند.
کاربر باید یک تصویر را در ابزار برش ویندوز (Snipping Tool) باز کند، فایل را اصلاح کند (مثلاً آن را برش دهد)، و سپس فایل اصلاح شده را در همان مکان ذخیره کند. موارد استفاده متداول مانند کپی کردن تصویر از این ابزار یا اصلاح آن قبل از ذخیره آن تحت تأثیر قرار نمی گیرند.
به عنوان مثال، مایکروسافت می گوید اگر شخصی از صورت حساب بانکی خود اسکرین شات بگیرد، آن را در دسکتاپ خود ذخیره کند و سپس شماره حساب خود را قبل از ذخیره آن در همان مکان برش دهد، تصویر برش داده شده همچنان می تواند شامل شماره حساب شما در قالبی مخفی باشد که می تواند توسط شخصی که به فایل تصویر کامل دسترسی دارد، بازیابی شود.
آنها در پایان توضیح می دهند:

با این حال، اگر تصویر برش خورده را از ابزار برش ویندوز کپی کنید و آن را در یک ایمیل یا سند جای گذاری کنید، داده های پنهان کپی نمی شوند و شماره حساب شما ایمن خواهد بود. همچنین ابزار برش در ویندوز 10 و نسخه های قدیمی تر تحت تأثیر قرار نگرفته است.