فائر فاکس کے پی ڈی ایف ناظرین کو ہیکرز بورنگ کرکے سیکورٹی کو فروغ دے سکتا ہے

جاوا اسکرپٹ اور HTML5 ویب ٹیکنالوجیز پر مبنی بلٹ میں پی ڈی ایف ناظرین کا اتحادی بیٹا ورژن میں شامل کردیا گیا ہے. فائر فاکس 19 کے، موزیلا نے جمعہ کو بتایا.

براؤزر کے مینوفیکچررز نے بلٹ میں پی ڈی ایف ناظرین کو ملکیت پی ڈی ایف دیکھنے کے پلگ ان کے مقابلے میں مزید محفوظ اور محفوظ طور پر بیان کیا، جیسا کہ ایڈوب ریڈر یا فاکٹ ریڈر نے انسٹال کیا. تاہم، بہت سیکیورٹی ماہرین نے بتایا کہ ممکنہ طور پر یہ خطرے سے پاک نہیں رہیں گے.

"کئی سالوں کے لئے فائر فاکس کے اندر پی ڈی ایفز دیکھنے کے لئے بہت سے پلگ ان ہوتے ہیں،" موزیلا انجنیئر مینیجر بل واکر اور موزیلا سافٹ ویئر انجینئر برینڈن دایل نے کہا ایک بلاگ پوسٹ میں جمعہ. "ان میں سے بہت سے پلگ ان ملکیت کے خفیہ ذریعہ کوڈ کے ساتھ آتے ہیں جو ممکنہ طور پر صارفین کو سیکورٹی کے خطرات سے بے نقاب کر سکتے ہیں. پی ڈی ایف دیکھنے کے پلگ ان بھی اضافی کوڈ کے ساتھ آتے ہیں جو فاکس فاکس پہلے سے ہی ملکیت کوڈ کے ساتھ اچھی طرح سے کام کرتا ہے، جیسے تصاویر اور متن ڈرائنگ."

[مزید پڑھنے: آپ کے ونڈوز پی سی سے میلویئر کو کیسے ہٹا دیں]

فی الحال بلٹ میں پی ڈی ایف ناظرین کو آزمائشی تجربہ کیا جا رہا ہے Mozilla لیبز پراجیکٹ سے PDF.js. "PDF.js منصوبے واضح طور پر ظاہر کرتا ہے کہ ایچ ٹی ایم ایل 5 اور جاوا اسکرپٹ اب ایپلی کیشنز کو تخلیق کرنے کے لئے کافی طاقتور ہیں جو پہلے سے ہی صرف مقامی ایپلی کیشنز کے طور پر پیدا ہوسکتی ہے." موزیلا سافٹ ویئر انجینئرز نے کہا. "زیادہ تر پی ڈی ایفز لوڈ نہ کرو اور تیزی سے پیش کرو، وہ محفوظ طریقے سے چلاتے ہیں اور براؤزر میں گھر پر محسوس کرتے ہیں کہ ایک انٹرفیس ہے."

چونکہ ناظرین معیاری HTML5 API (ایپلی کیشن پروگرامنگ انٹرفیس) کا استعمال کرتا ہے یہ مختلف براؤزرز میں بھی چل سکتا ہے. مختلف پلیٹ فارمز جیسے گولیاں اور موبائل فونز پر. ویب ایپلی کیشن کے ذریعہ چلنے والے ناظر کا ایک لائیو ڈیمو PDF.js کی ویب سائٹ پر دستیاب ہے.

"فائر فاکس بیٹا میں PDF.js طاقتور ناظرین یہ فائر فاکس کے رہائشی ورژن کے اندر ایک مکمل مربوط خصوصیت بننے کا پہلا قدم ہے. لہذا اس کے فوائد تمام فائر فاکس کے صارفین کے ذریعہ لطف اندوز ہوسکتی ہیں، "موزیلا سافٹ ویئر انجینئرز نے کہا.

موزیلا واضح نہیں کیا گیا کہ آیا یہ ناظرین ڈیفالٹ کے ذریعہ بھی اس صورت حال میں استعمال کیا جائے گا جب تیسرے فریق پی ڈی ایف کو دیکھ کر پلگ ان انسٹال ہو. کمپنی نے فوری طور پر تبصرہ کیلئے درخواست کا جواب نہیں دیا.

ہیکرز کو کم کرنے کی دعوت دیتے ہیں

سیکورٹی ماہرین کا خیال ہے کہ بلٹ میں پی ڈی ایف ناظرین صارفین کے لئے مزید سیکورٹی فراہم کرے گا، لیکن لازمی طور پر اس کا شکار نہیں ہوگا. تیسری پارٹی پی ڈی ایف ناظرین پلگ ان کے طور پر خطرات ہیں.

اس طرح کے عمل کو حتمی صارف کو مزید سیکورٹی فراہم ہوسکتی ہے کیونکہ اس کے صارف بیس ایڈوب ریڈر کے مقابلے میں چھوٹے ہوسکتا ہے اور سائبرکریٹزمز زیادہ سے زیادہ مقبول استحصال پر توجہ مرکوز جاری رکھیں گے. سافٹ ویئر کے ٹکڑے ٹکڑے، اینٹی ویوسائر وینڈر Kaspersky لیب میں ایک سینئر سیکورٹی محقق Stefan Tanase، ای میل کے ذریعے کہا. "جب میں فائر فاکس کو اپنے صارفین کے تحفظ کے بارے میں اضافی سوچ دینے کے لئے حوصلہ افزائی کرتا ہوں تو مجھے کیا فکر ہے کہ یہ بھی ایسی ٹیکنالوجی ہے جس پر پی ڈی ایف.js کی بنیاد پر ہوسکتا ہے."

تناسیس نے یہ نشاندہی کی کہ براؤزر کے جاوا اسکرپٹ میں زیادتی رینجرنگ انجن غیر معمولی نہیں ہیں. مثال کے طور پر، انہوں نے CVE-2013-0750 کو اشارہ کیا، کچھ دن پہلے کچھ دن فائر فاکس 18 میں مقرر کردہ ریموٹ کوڈ پر عملدرآمد کے خطرے کی کمی. تناسب نے کہا کہ خطرے کی وجہ سے براؤزر کو جاوا اسکرپٹ سٹرنگ کنکشن کے لۓ لمبائی کا حساب انداز ہوتا ہے.

اس خطرے کو استثناء نہیں ہے، بلکہ حکمران تناس نے کہا. "اسی طرح کے لوگ ہر سال دریافت کر رہے ہیں، زیادہ سے زیادہ ہر مصنوعات کے ورژن میں اور وہ حملہ آوروں کو کوڈ کو چلانے اور سافٹ ویئر کو انسٹال کرنے کے لۓ استعمال کیا جا سکتا ہے، عام طور پر براؤزنگ سے باہر کوئی صارف کی بات چیت کرنے کی ضرورت نہیں ہے."

اس پی ڈی ایف ناظرین کا حصہ تیسرے سے کہیں زیادہ محفوظ ہوسکتا ہے. اگر یہ ایرر برقرار رہے تو ہمارے ہیلپ ڈیسک سے رابطہ کریں. اس ویڈیو پر غلط استعمال کی اطلاع دیتے ہوئے ایرر آ گیا ہے. براہ مہربانی دوبارہ کوشش کریں. اگر یہ ایرر برقرار رہے تو ہمارے ہیلپ ڈیسک سے رابطہ کریں. غلط استعمال کی اطلاع دیتے ہوئے ایرر آ گیا ہے.انہوں نے کہا کہ سیکورٹی کے مسائل باقی ہیں

تاہم، اس کا یہ مطلب نہیں ہے کہ یہ خطرات کی وجہ سے متاثر نہیں ہوتا. "اگر براؤزر میں نئی ​​فعالیت کو شامل کردی گئی ہے یا پی ڈی ایف ریڈر کو دوسری صورت میں براؤزر میں استحقاق بنائی جاتی ہے، تو یہ ممکن ہوسکتا ہے اور براؤزر میں ان خطرات کا استحصال کرنے کیلئے ایک نیا ویکٹر بن سکتا ہے."

"ایک تکنیکی نقطہ نظر سے میں تلاش کرتا ہوں یہ بہت دلچسپ ہے کہ وہ ایک پی ڈی ایف ناظرین تشکیل دے رہے ہیں جو براؤزر کی موجودہ صلاحیتوں کا استعمال کرتے ہیں. "سیکورٹی کنسلٹنسی فرم کے خطرے پر مبنی سیکیورٹی فرم کے کارکن ریسر کارسٹین ایرام نے ای میل کے ذریعے کہا. "چونکہ براؤزر اب ایچ ٹی ایم ایل 5 اور جاوا اسکرپٹ سپورٹ کے ساتھ بہت اعلی درجے سے ہیں کہ وہ اصل میں پی ڈی ایف فائلوں کو پیسہ کرسکتے ہیں، اس سے زیادہ تر صارفین کے لئے الگ الگ پی ڈی ایف ناظرین بنا سکتا ہے، جو صرف بنیادی پی ڈی ایف دیکھنے کی صلاحیتوں کی ضرورت ہے."

عام طور پر ایرم نے کہا، کوڈ ایک نظام پر ہے، کم اشارہ ممکنہ حملوں کے لئے ہے. انہوں نے کہا کہ اس بلٹ میں پی ڈی ایف ناظرین کا استعمال الگ الگ ایک پی ڈی ایف ریڈر کی درخواست کو انسٹال کرنے کے بجائے استعمال کیا جاسکتا ہے کہ اکثر خصوصیات میں بہت سے صارفین کو واقعی ضرورت نہیں ہے اور جو بھی خطرناک ہوسکتا ہے، نظام کے مجموعی طور پر حملے کی سطح کو کم کر دیتا ہے. اس اصول کے ساتھ. "ویب صفحات اور پی ڈی ایف دونوں کے لئے ایک ہی انجن فراہم کرنے کے لئے ایک واضح فائدہ ہے جس کی نشاندہی کی ضرورت ہے: کوڈ کی بنیاد چھوٹا ہے، لہذا حملہ کی سطح اور ممکنہ خطرے میں کمی آئی ہے."

ایرام کا خیال ہے کہ یہ نیچے آ جائے گا جاوا اسکرپٹ اور ایچ ٹی ایم ایل 5 کتب براؤزر میں کتنا ٹھوس ہے. انہوں نے کہا کہ "میں اس پی ڈی ایف ناظرین کو بھی متاثر کرنے کے لئے ان پر عمل درآمد میں کسی بھی خطرے کی توقع کروں گا."

خوش قسمتی سے، اگر ایسی کمزوریاں ملتی ہیں، تو ان کو فکسنگ کرنے کا کام براؤزر وینڈر پر آتا ہے. تناس نے کہا کہ براؤزر کے سازوسامان، خاص طور پر موزیلا اور گوگل کے پاس خطرات کا انتظام کرنے کا بہت اچھا ریکارڈ ہے اور تاریخی لحاظ سے تیسرے فریق کے پلگ ان کے فروغ کے مقابلے میں بہتر اپ ڈیٹ میکانیزم موجود ہیں.