فائر فاکس 111 پیچ 11 سوراخ کرتا ہے، لیکن ان میں 1 صفر دن نہیں…

کرکٹ کے بارے میں سنا ہے (کھیل، کیڑے نہیں)؟

یہ کافی حد تک بیس بال کی طرح ہے، سوائے اس کے کہ بلے باز جہاں چاہیں گیند کو مار سکتے ہیں، بشمول پیچھے کی طرف یا بغل میں۔ گیند باز جان بوجھ کر گیند سے بلے باز کو مار سکتے ہیں (یقیناً کچھ حفاظتی حدود کے اندر – یہ کرکٹ نہیں ہو گا) بغیر 20 منٹ کے تمام جھگڑے کے۔ دوپہر کے وسط میں چائے اور کیک کے لیے تقریباً ہمیشہ وقفہ ہوتا ہے۔ اور آپ ایک وقت میں چھ رنز بنا سکتے ہیں جب تک کہ آپ گیند کو اونچی اور کافی حد تک مارتے ہیں (سات اگر بولر بھی غلطی کرتا ہے)۔

ٹھیک ہے، جیسا کہ کرکٹ کے شائقین جانتے ہیں، 111 رنز ایک توہم پرستی پر مبنی اسکور ہے، جسے بہت سے لوگ ناگوار سمجھتے ہیں – کرکٹر کے برابر میکبیت ایک اداکار کو.

یہ ایک کے طور پر جانا جاتا ہے نیلسن، حالانکہ کوئی بھی حقیقت میں نہیں جانتا کہ کیوں۔

اس لیے آج فائر فاکس کی نیلسن کی ریلیز دیکھی جا رہی ہے، جس کا ورژن 111.0 آ رہا ہے، لیکن ایسا لگتا ہے کہ اس کے بارے میں کچھ بھی ناگوار نہیں ہے۔

گیارہ انفرادی پیچ، اور پیچ کے دو بیچ

ہمیشہ کی طرح، اپ ڈیٹ میں متعدد حفاظتی پیچز ہیں، بشمول ممکنہ طور پر استحصال کرنے والے کیڑے کے لیے موزیلا کے معمول کے کومبو-CVE خطرے کے نمبرز جو خود بخود مل گئے اور یہ دیکھنے کا انتظار کیے بغیر کہ آیا تصور کے ثبوت (PoC) کا استحصال ممکن تھا:

• CVE-2023-28176: Firefox 111 اور Firefox ESR 102.9 میں میموری کی حفاظتی کیڑے طے کیے گئے ہیں۔ یہ کیڑے موجودہ ورژن (جس میں نئی ​​خصوصیات شامل ہیں) اور ESR ورژن کے درمیان اشتراک کیا گیا تھا، مختصر کے لیے توسیعی حمایت کی رہائی (سیکیورٹی فکسز لاگو ہیں، لیکن نئی خصوصیات کے ساتھ ورژن 102 سے، نو ریلیز پہلے سے منجمد)۔
• CVE-2023-28177: صرف Firefox 111 میں میموری کی حفاظتی کیڑے طے کیے گئے ہیں۔ یہ کیڑے تقریباً یقینی طور پر صرف نئے کوڈ میں موجود ہیں جو نئی خصوصیات لائے ہیں، اس لیے کہ وہ پرانے ESR کوڈ بیس میں ظاہر نہیں ہوئے تھے۔

کیڑے کے ان تھیلوں کی درجہ بندی کی گئی ہے۔ ہائی کے بجائے کریٹکل.

موزیلا نے اعتراف کیا کہ "ہم سمجھتے ہیں کہ کافی کوششوں کے ساتھ ان میں سے کچھ کو صوابدیدی کوڈ چلانے کے لیے استعمال کیا جا سکتا تھا"، لیکن ابھی تک کسی نے یہ نہیں سوچا ہے کہ ایسا کیسے کیا جائے، یا یہاں تک کہ اگر اس طرح کے کارنامے ممکن ہیں۔

اس ماہ دیگر گیارہ CVE نمبر والے کیڑے میں سے کوئی بھی برا نہیں تھا۔ ہائی; ان میں سے تین صرف اینڈرائیڈ کے لیے فائر فاکس پر لاگو ہوتے ہیں۔ اور ابھی تک کسی نے بھی (جیسا کہ ہم ابھی تک جانتے ہیں) ایک PoC استحصال کے ساتھ نہیں آیا ہے جو یہ ظاہر کرتا ہے کہ حقیقی زندگی میں ان کے ساتھ بدسلوکی کیسے کی جاتی ہے۔

11 میں سے دو خاصی دلچسپ کمزوریاں ظاہر ہوتی ہیں، یعنی:

• CVE-2023-28161: ایک مقامی فائل کو دی گئی ایک بار کی اجازت اسی ٹیب میں لوڈ کی گئی دوسری مقامی فائلوں تک بڑھا دی گئی۔ اس بگ کے ساتھ، اگر آپ نے ایک مقامی فائل (جیسے ڈاؤن لوڈ کردہ ایچ ٹی ایم ایل مواد) کھولی ہے جو کہ آپ کے ویب کیم تک رسائی چاہتی ہے، تو پھر آپ کے بعد کھولی جانے والی کوئی بھی دوسری مقامی فائل آپ سے پوچھے بغیر اس رسائی کی اجازت کو جادوئی طور پر وراثت میں لے گی۔ جیسا کہ موزیلا نے نوٹ کیا، اگر آپ اپنی ڈاؤن لوڈ ڈائرکٹری میں آئٹمز کے مجموعے کو دیکھ رہے ہیں تو یہ پریشانی کا باعث بن سکتا ہے - رسائی کی اجازت کی وارننگز جو آپ دیکھیں گے اس کا انحصار اس ترتیب پر ہوگا جس میں آپ نے فائلیں کھولی ہیں۔
• CVE-2023-28163: Windows Save As ڈائیلاگ نے ماحولیاتی متغیرات کو حل کیا۔ یہ ایک اور گہری یاد دہانی ہے۔ اپنے آدانوں کو صاف کریں۔، جیسا کہ ہم کہنا چاہتے ہیں۔ ونڈوز کمانڈز میں، کچھ کرداروں کی ترتیب کو خاص طور پر برتا جاتا ہے، جیسے %USERNAME%، جو فی الحال لاگ آن صارف کے نام میں تبدیل ہو جاتا ہے، یا %PUBLIC%، جو مشترکہ ڈائریکٹری کو ظاہر کرتا ہے، عام طور پر میں C:Users. ایک ڈرپوک ویب سائٹ اسے کسی ایسے فائل نام کے ڈاؤن لوڈ کو دیکھنے اور اس کی منظوری دینے کے لیے آپ کو دھوکہ دینے کے لیے استعمال کر سکتی ہے جو بے ضرر نظر آتا ہے لیکن ایسی ڈائرکٹری میں اترتا ہے جس کی آپ کو توقع نہیں ہوگی (اور جہاں آپ کو بعد میں یہ احساس بھی نہیں ہوگا کہ یہ ختم ہو گیا ہے)۔

کیا کیا جائے؟

فائر فاکس کے زیادہ تر صارفین کو خود بخود اپ ڈیٹ مل جائے گی، عام طور پر ایک ہی لمحے میں ہر کسی کے کمپیوٹر کو ڈاؤن لوڈ ہونے سے روکنے کے لیے بے ترتیب تاخیر کے بعد…

…لیکن آپ دستی طور پر استعمال کرکے انتظار سے بچ سکتے ہیں۔ مدد > ہمارے بارے میں (یا فائر فاکس > فائر فاکس کے بارے میں میک پر) لیپ ٹاپ پر، یا موبائل ڈیوائس پر ایپ اسٹور یا گوگل پلے اپ ڈیٹ پر مجبور کر کے۔

(اگر آپ لینکس کے صارف ہیں اور فائر فاکس آپ کے ڈسٹرو کے بنانے والے کے ذریعہ فراہم کیا جاتا ہے، تو نئے ورژن کی دستیابی کو چیک کرنے کے لیے سسٹم اپ ڈیٹ کریں۔)

• SEO سے چلنے والا مواد اور PR کی تقسیم۔ آج ہی بڑھا دیں۔
• پلیٹو بلاک چین۔ Web3 Metaverse Intelligence. علم میں اضافہ۔ یہاں تک رسائی حاصل کریں۔
• ماخذ: https://nakedsecurity.sophos.com/2023/03/14/firefox-111-patches-11-holes-but-not-1-zero-day-among-them/