شرحی بر آسیب پذیری WebKit بگذارید

  • 1389/10/23
  • ITTeach
  • 0

در تاريخ 16 شهريورماه 1389 1 يك آسيب پذيري مهم در نرم افزار Webkit شناسايي گرديد كه به مهاجم اجازه مي دهد تا كدهاي مخرب خودش را درون برنامه در حال اجراي كاربر، اجرا نمايد. اين آسيب پذيري كه از راه دور 2 قابل اجرا است ، در صورت عدم موفقيت، منجر به شرايط DoS 3 بر روي سيستم هدف خواهد شد.

نرم افزار WebKit

WebKit يك موتور جاوا اسكريپت 4 است كه براي پردازش كدهاي جاوا اسكريپت موجود در صفحات وب پويا استفاده مي شود. موتورهاي جاوا به كاربر اجازه مي دهد كه بدون ارتباط با سرور، عملياتي را روي آن صفحه انجام داده و يا در صورت اعمال تغيير كوچكي در صفحه مورد نظر، كل صفحه را دوباره بارگذاري نكند.

WebKit از دو قسمت تشكيل شده كه يكي از اين قسمت ها به عنوان موتور جاوا اسكريپت مورد استفاده قرار گرفته و از قسمت ديگر براي پردازش اِلمان هاي گرافيكي صفحات استفاده مي شود. اين نرم افزار، محصول شركت اپل و يك پروژه كد باز است كه به علت سرعت بالايي كه در بارگذاري صفحات وب دارد، امروزه به عنوان يكي از مهمترين موتورهاي مرورگرها شناخته مي شود.

لازم به ذكر است كه اولين موتور جاوا اسكريپت توسط شركت نت اسكيپ براي مرورگر نت اسكيپ نوشته شد و سپس با توجه به گستردگي مرورگرها، موتورهاي ديگري همچون SpiderMonkey فايرفاكس، V8 گوگل كروم، WebKit سافاري، Presto اوپرا و موتور Trident براي اينترنت اكسپلورر هم توليد شد.

سيستم هاي آسيب پذير:

آسيب پذيري Webkit Floating Point Datatype علاوه بر تحت تأثير قرار دادن نسخه هاي مختلف نرم افزارهاي Apple Safari 4 ~ 5.0.1 ، Apple iOS 3.2 ~ 4.2 ، Apple iPad ~ 3.2.2 ، Apple iPod Touch 2.1 ~ 3.1.3 ، در مدل هاي iPhone زير نيز تأثيرگذار است:

  • Apple iPhone 2.0
  • Apple iPhone 2.0.1
  • Apple iPhone 2.0.2
  • Apple iPhone 2.1
  • Apple iPhone 2.2
  • Apple iPhone 2.2.1
  • Apple iPhone 3.0
  • Apple iPhone 3.0.1
  • Apple iPhone 3.1
  • Apple iPhone 3.1.2
  • Apple iPhone 3.1.3
  • Apple iPhone 3.2
  • Apple iPhone 3.2.1
  • Apple iPhone 4.0
  • Apple iPhone 4.0.1
  • Apple iPhone 4.1

پيشنهاد:

براي كاهش خطر اين آسيب پذيري، توصيه مي شود كه اجراي كدهاي جاوا اسكريپت يا محتواي فعال را در مرورگر وب سافاري غيرفعال كنيد، هر چند كه اين موضوع ممكن است اثرات منفي در نمايش وب سايت هايي كه از كدهاي اسكريپت در صفحات خود استفاده مي كنند، داشته باشد.

پانوشت ها:

  1. September 7, 2010
  2. remote code-execution
  3. denial-of-service
  4. JavaScript


محمد مهدی واعظی نژاد

متخصص امنیت شبکه (مورد تأیید FBI)

همراه:  ۰۹۱۲۳۹۶۳۱۲۷

Mahdivaezi61@yahoo.com

استفاده از مطالب این مقاله به هر نحو ممکن ، بدون ذکر نام نویسنده شرعاً حرام است.

دیدگاه خود را وارد کنید

نشانی ایمیل شما منتشر نخواهد شد.