شرحی بر آسیب پذیری WebKit بگذارید

  • ۱۳۸۹/۱۰/۲۳
  • ITTeach
  • 0

در تاریخ ۱۶ شهریورماه ۱۳۸۹ ۱ یک آسیب پذیری مهم در نرم افزار Webkit شناسایی گردید که به مهاجم اجازه می دهد تا کدهای مخرب خودش را درون برنامه در حال اجرای کاربر، اجرا نماید. این آسیب پذیری که از راه دور ۲ قابل اجرا است ، در صورت عدم موفقیت، منجر به شرایط DoS ۳ بر روی سیستم هدف خواهد شد.

نرم افزار WebKit

WebKit یک موتور جاوا اسکریپت ۴ است که برای پردازش کدهای جاوا اسکریپت موجود در صفحات وب پویا استفاده می شود. موتورهای جاوا به کاربر اجازه می دهد که بدون ارتباط با سرور، عملیاتی را روی آن صفحه انجام داده و یا در صورت اعمال تغییر کوچکی در صفحه مورد نظر، کل صفحه را دوباره بارگذاری نکند.

WebKit از دو قسمت تشکیل شده که یکی از این قسمت ها به عنوان موتور جاوا اسکریپت مورد استفاده قرار گرفته و از قسمت دیگر برای پردازش اِلمان های گرافیکی صفحات استفاده می شود. این نرم افزار، محصول شرکت اپل و یک پروژه کد باز است که به علت سرعت بالایی که در بارگذاری صفحات وب دارد، امروزه به عنوان یکی از مهمترین موتورهای مرورگرها شناخته می شود.

لازم به ذکر است که اولین موتور جاوا اسکریپت توسط شرکت نت اسکیپ برای مرورگر نت اسکیپ نوشته شد و سپس با توجه به گستردگی مرورگرها، موتورهای دیگری همچون SpiderMonkey فایرفاکس، V8 گوگل کروم، WebKit سافاری، Presto اوپرا و موتور Trident برای اینترنت اکسپلورر هم تولید شد.

سیستم های آسیب پذیر:

آسیب پذیری Webkit Floating Point Datatype علاوه بر تحت تأثیر قرار دادن نسخه های مختلف نرم افزارهای Apple Safari 4 ~ 5.0.1 ، Apple iOS 3.2 ~ 4.2 ، Apple iPad ~ 3.2.2 ، Apple iPod Touch 2.1 ~ 3.1.3 ، در مدل های iPhone زیر نیز تأثیرگذار است:

  • Apple iPhone 2.0
  • Apple iPhone 2.0.1
  • Apple iPhone 2.0.2
  • Apple iPhone 2.1
  • Apple iPhone 2.2
  • Apple iPhone 2.2.1
  • Apple iPhone 3.0
  • Apple iPhone 3.0.1
  • Apple iPhone 3.1
  • Apple iPhone 3.1.2
  • Apple iPhone 3.1.3
  • Apple iPhone 3.2
  • Apple iPhone 3.2.1
  • Apple iPhone 4.0
  • Apple iPhone 4.0.1
  • Apple iPhone 4.1

پیشنهاد:

برای کاهش خطر این آسیب پذیری، توصیه می شود که اجرای کدهای جاوا اسکریپت یا محتوای فعال را در مرورگر وب سافاری غیرفعال کنید، هر چند که این موضوع ممکن است اثرات منفی در نمایش وب سایت هایی که از کدهای اسکریپت در صفحات خود استفاده می کنند، داشته باشد.

پانوشت ها:

  1. September 7, 2010
  2. remote code-execution
  3. denial-of-service
  4. JavaScript


محمد مهدی واعظی نژاد

متخصص امنیت شبکه (مورد تأیید FBI)

همراه:  ۰۹۱۲۳۹۶۳۱۲۷

Mahdivaezi61@yahoo.com

استفاده از مطالب این مقاله به هر نحو ممکن ، بدون ذکر نام نویسنده شرعاً حرام است.

دیدگاه خود را وارد کنید

نشانی ایمیل شما منتشر نخواهد شد. بخش‌های موردنیاز علامت‌گذاری شده‌اند *