iOS 16 میل کریش اٹیک کے خلاف Mystery iPhone اپ ڈیٹ پیچ

ہم کام اور ذاتی ای میل کو سنبھالنے کے لیے سارا دن، ہر روز Apple کی میل ایپ استعمال کرتے ہیں، بشمول بہت خوش آئند نیکڈ سیکیورٹی تبصرے، سوالات، مضمون کے خیالات، ٹائپو رپورٹس، پوڈ کاسٹ کی تجاویز اور بہت کچھ۔

(انہیں آتے رہیں – ہمیں بہت زیادہ مثبت اور مفید پیغامات ملتے ہیں جن پر ہمیں ٹرول ملتا ہے، اور ہم اسے اس طرح رکھنا پسند کرتے ہیں: tips@sophos.com ہم تک پہنچنے کا طریقہ ہے۔)

ہم نے ہمیشہ میل ایپ کو ایک بہت ہی کارآمد ورک ہارس پایا ہے جو ہمارے لیے مناسب ہے: یہ خاص طور پر فینسی نہیں ہے۔ یہ ان خصوصیات سے بھرا نہیں ہے جو ہم کبھی استعمال نہیں کرتے ہیں۔ یہ بصری طور پر آسان ہے؛ اور (اب تک ویسے بھی)، یہ پوری طرح سے قابل اعتماد رہا ہے۔

لیکن ایپ کے تازہ ترین ورژن میں ایک سنگین مسئلہ پیدا ہوا ہوگا، کیونکہ ایپل صرف باہر دھکیل دیا iOS 16 کے لیے ایک بگ سیکیورٹی پیچ، ورژن نمبر کو لے کر iOS کے 16.0.3، اور میل کے لیے مخصوص خطرے کو ٹھیک کرنا:

ایک اور صرف ایک بگ درج ہے:

اثر: بدنیتی سے تیار کردہ ای میل پیغام پر کارروائی کرنا سروس سے انکار کا باعث بن سکتا ہے تفصیل: ان پٹ کی توثیق کے مسئلے کو بہتر ان پٹ توثیق کے ساتھ حل کیا گیا تھا۔ CVE-2022-22658

"ایک بگ" بلیٹنز

ہمارے تجربے میں، ایپل کی جانب سے "ون-بگ" سیکیورٹی بلیٹنز، یا چھوٹے N کے لیے کم از کم N-بگ بلیٹنز، قاعدے کے بجائے مستثنیٰ ہیں، اور اکثر ایسا لگتا ہے جب کوئی واضح اور موجودہ خطرہ ہو جیسے جیل ٹوٹنے والا صفر۔ دن کا استحصال یا استحصال کا سلسلہ۔

شاید اس قسم کی سب سے مشہور حالیہ ایمرجنسی اپ ڈیٹ تھی۔ ڈبل صفر دن کی درستگی اگست 2022 میں جس نے ویب کٹ میں ریموٹ کوڈ پر عمل درآمد کے سوراخ پر مشتمل دو بیرل حملے کا مقابلہ کیا (ایک راستہ) جس کے بعد دانا میں ہی مقامی کوڈ پر عمل درآمد ہول (مکمل طور پر سنبھالنے کا ایک طریقہ):

وہ کیڑے باضابطہ طور پر نہ صرف باہر کے لوگوں کو معلوم ہونے کے طور پر درج کیے گئے تھے، بلکہ اس کے ساتھ ساتھ فعال بدسلوکی کے تحت بھی، ممکنہ طور پر کسی قسم کے میلویئر کو لگانے کے لیے جو آپ کے ہر کام پر نظر رکھ سکتے ہیں، جیسے کہ آپ کے تمام ڈیٹا کو اسنوپ کرنا، خفیہ اسکرین شاٹس لینا، سننا۔ فون کالز، اور اپنے کیمرے سے تصویریں کھینچنا۔

تقریباً دو ہفتے بعد، ایپل بھی ایک سے باہر نکل گیا۔ غیر متوقع اپ ڈیٹ iOS 12 کے لیے، ایک پرانا ورژن جس کے بارے میں ہم میں سے اکثر نے فرض کیا تھا کہ وہ مؤثر طریقے سے "چھوڑ دینے والا سامان" تھا، جو اس سے پہلے تقریباً ایک سال تک ایپل کی آفیشل سیکیورٹی اپ ڈیٹس سے واضح طور پر غائب تھا۔

(بظاہر، iOS 12 ویب کٹ بگ سے متاثر ہوا تھا، لیکن فالو آن کرنل ہول سے نہیں جس نے ایپل کی حالیہ مصنوعات پر اٹیک چین کو بہت زیادہ خراب کردیا۔)

اس بار، تاہم، اس بات کا کوئی ذکر نہیں ہے کہ اپ ڈیٹ میں بگ پیچ کیا گیا ہے۔ iOS کے 16.0.3 ایپل سے باہر کسی کے ذریعہ اطلاع دی گئی تھی، ورنہ ہم بلیٹن میں نامزد فائنڈر کو دیکھنے کی توقع کریں گے، چاہے صرف "ایک گمنام محقق".

اس میں بھی کوئی تجویز نہیں ہے کہ یہ بگ پہلے ہی حملہ آوروں کو معلوم ہو سکتا ہے اور اس لیے پہلے سے ہی شرارت یا بدتر کے لیے استعمال ہو رہا ہے…

…لیکن ایپل اس کے باوجود یہ سوچتا ہے کہ اس کے بارے میں سیکیورٹی بلیٹن جاری کرنا ایک کمزوری ہے۔

آپ کو میل ملا، میل ملا، میل ملا…

نام نہاد سروس سے انکار (DoS) یا میری مرضی سے کریش کیڑے اکثر خطرے کے منظر کے ہلکے وزن کے طور پر شمار کیے جاتے ہیں، کیونکہ وہ عام طور پر حملہ آوروں کو وہ ڈیٹا بازیافت کرنے کا راستہ فراہم نہیں کرتے ہیں جو انہیں نہیں دیکھنا چاہیے، یا ان تک رسائی کے مراعات حاصل کرنے کے لیے جو انھیں نہیں ہونا چاہیے، یا بدنیتی پر مبنی کوڈ کو چلانے کے لیے۔ ان کے اپنے انتخاب کے.

لیکن کوئی بھی DoS بگ تیزی سے ایک سنگین مسئلہ میں تبدیل ہو سکتا ہے، خاص طور پر اگر یہ پہلی بار متحرک ہونے کے بعد بار بار ہوتا رہتا ہے۔

یہ صورت حال میسجنگ ایپس میں آسانی سے پیدا ہو سکتی ہے اگر صرف بوبی ٹریپ میسج تک رسائی ایپ کو کریش کر دیتی ہے، کیونکہ آپ کو عام طور پر پریشان کن پیغام کو ڈیلیٹ کرنے کے لیے ایپ کو استعمال کرنے کی ضرورت ہوتی ہے…

…اور اگر کریش کافی تیزی سے ہوتا ہے، تو آپ کو کبھی بھی اتنا وقت نہیں ملتا کہ آپ کوڑے دان کے آئیکن پر کلک کریں یا ایپ کے دوبارہ کریش ہونے سے پہلے اسے سوائپ کرکے حذف کر دیں۔

اس طرح کے آئی فون "ٹیکسٹ آف ڈیتھ" منظرناموں کے بارے میں کئی سالوں میں متعدد کہانیاں نمودار ہوئی ہیں، بشمول:

بلاشبہ، دوسرا مسئلہ جس کا ہم مذاق میں حوالہ دیتے ہیں۔ CRASH: GOTO CRASH میسجنگ ایپس میں کیڑے یہ ہیں کہ دوسرے لوگوں کو یہ انتخاب کرنا پڑتا ہے کہ آپ کو کب میسج کرنا ہے، اور میسج میں کیا ڈالنا ہے…

…اور یہاں تک کہ اگر آپ نامعلوم یا غیر بھروسہ مند بھیجنے والوں کے پیغامات کو بلاک کرنے کے لیے ایپ میں کسی قسم کے خودکار فلٹرنگ اصول کا استعمال کرتے ہیں، تو ایپ کو عام طور پر یہ فیصلہ کرنے کے لیے آپ کے پیغامات پر کارروائی کرنے کی ضرورت ہوگی کہ کن سے چھٹکارا حاصل کرنا ہے۔

(نوٹ کریں کہ یہ بگ رپورٹ واضح طور پر اس کی وجہ سے ہونے والے حادثے کی طرف اشارہ کرتی ہے۔ "بد نیتی سے تیار کردہ ای میل پیغام پر کارروائی کرنا".)

اس لیے ایپ بہرحال کریش ہو سکتی ہے، اور ہر بار دوبارہ شروع ہونے پر کریش ہوتی رہ سکتی ہے کیونکہ یہ ان پیغامات کو ہینڈل کرنے کی کوشش کرتی ہے جو اس نے پچھلی بار ڈیل کرنے کا انتظام نہیں کیا تھا۔

کیا کیا جائے؟

چاہے آپ کے پاس خودکار اپ ڈیٹس آن ہو یا نہ ہوں، پر جائیں۔ ترتیبات > جنرل > سافٹ ویئر اپ ڈیٹ فکس کو چیک کرنے کے لیے (اور اگر ضرورت ہو تو انسٹال کرنے کے لیے)۔

اپ ڈیٹ کے بعد آپ جو ورژن دیکھنا چاہتے ہیں۔ iOS کے 16.0.3 یا بعد میں.

یہ دیکھتے ہوئے کہ ایپل نے اکیلے ہی اس ایک DoS بگ کے لیے سیکیورٹی پیچ کو آگے بڑھایا ہے، ہم اندازہ لگا رہے ہیں کہ اگر کوئی حملہ آور اس کا پتہ لگاتا تو کچھ خلل ڈالنے والی چیز خطرے میں پڑ سکتی ہے۔

مثال کے طور پر، آپ بمشکل استعمال کے قابل ڈیوائس کے ساتھ ختم ہوسکتے ہیں جسے آپ کو مکمل طور پر صاف کرنے اور اسے صحت مند آپریشن میں بحال کرنے کے لیے دوبارہ چمکانے کی ضرورت ہوگی…

---

کمزوریوں کے بارے میں مزید جانیں۔

---