يتيح هذا الاستغلال الهائل للمتسللين اختراق تطبيقات مثل Chrome و1Password وTelegram
تم اكتشاف خطأ أمني هائل يؤثر على صور WebP المستخدمة في عدد لا يحصى من مواقع الويب والتطبيقات، ومن المحتمل أن يسمح للمتسللين باقتحام جهاز الكمبيوتر الخاص بك واستخراج البيانات منه. في الواقع، لقد شهدت جوجل بالفعل استغلالها بشكل نشط على نطاق واسع . ولهذا السبب، من الضروري أن تقوم بتصحيح جهاز الكمبيوتر الخاص بك في أقرب وقت ممكن.
تم تفصيل هذا الاكتشاف من قبل الباحث Alex Ivanovs، الذي كتب عن الخطأ في منشور بالمدونة . في الوقت الحالي، يبدو أنه يؤثر على جميع أفضل متصفحات الويب تقريبًا، بما في ذلك Chrome وFirefox وEdge وBrave. يتم استخدام صور WebP في جميع أنحاء الويب، مما يعني أن عددًا كبيرًا من المواقع والتطبيقات قد تتأثر.
يتعلق الاستغلال بما يسمى خطأ تجاوز سعة الكومة في برنامج الترميز الذي يفسر ويعرض صور WebP. يحدث خطأ تجاوز السعة هذا عندما يتم إرسال المزيد من البيانات إلى ذاكرة "الكومة" الخاصة بالتطبيق أكثر مما تم تصميمه للاحتفاظ به. يمكن أن يسمح ذلك بتبديل التعليمات البرمجية الشائنة محل التعليمات البرمجية الجيدة، مما يؤدي إلى أن تتصرف التطبيقات بطرق غير متوقعة – وربما ضارة.
في حالة ملفات WebP، يمكن للمهاجم إنشاء صورة WebP تخفي تعليمات برمجية ضارة. عند عرض هذه الصورة، يمكن تنفيذ التعليمات البرمجية، مما يسمح للمهاجم بالوصول إلى جهاز الكمبيوتر الخاص بك أو سرقة البيانات المخزنة عليه، والتي قد تتضمن معلومات حساسة بشكل لا يصدق مثل كلمات المرور أو تفاصيل بطاقة الائتمان الخاصة بك.
تستخدم أعداد كبيرة من مواقع الويب ملفات WebP نظرًا لتوازنها الممتاز بين الجودة وحجم الملف، وبالتالي فإن عدد المستخدمين الذين قد يتأثرون بهذا الاستغلال هائل. ولكن هذا ليس الشيء الوحيد الذي يجعل هذا الخطأ خطيرًا جدًا.
ليس فقط المواقع الإلكترونية
نظرًا لأن الخطأ يؤثر على برنامج ترميز WebP، فهو موجود أيضًا في العديد من التطبيقات التي تحتاج إلى طريقة لعرض صور WebP. تشمل التطبيقات المتأثرة Telegram و1Password وSignal و LibreOffice ومجموعة Affinity لتطبيقات التصميم وغيرها الكثير.
وقد بدأ مطورو العديد من هذه التطبيقات في طرح الإصلاحات، حيث أصدر 1Password وChrome وFirefox وEdge وBrave تحديثات. نشرت Apple أيضًا تحديثًا لنظام التشغيل macOS Ventura والذي من المفترض أن يعمل على إصلاح الخلل.
يقول إيفانوف أنه تم الإبلاغ عن الثغرة الأمنية لأول مرة من قبل فريق الهندسة والهندسة المعمارية الأمني في شركة Apple، بالتعاون مع The Citizen Lab في مدرسة Munk School بجامعة تورونتو. تم إرسال الخطأ في 6 سبتمبر 2023، ويحمل المعرف CVE-2023-4863 .
نظرًا لخطورة هذا الخطأ المحتمل، يجب عليك التحقق من تحديثات تطبيقاتك في أقرب وقت ممكن، والتأكد من تحديثها بأسرع ما يمكن. هذه هي أفضل طريقة للحفاظ على جهاز الكمبيوتر الخاص بك آمنًا من هذا الاستغلال.
