پژوهشگران امنیتی نشان دادند که یک نقص در نرم‌افزارهای رایج رمزگشایی تصاویر (Image-decoding) می‌تواند منجر به فساد حافظه (Memory Corruption) و در نهایت اجرای کد از راه دور (Remote Code Execution) روی سیستم‌های آسیب‌پذیر شود. این آسیب‌پذیری که HEIF Heist نامیده شده است، اپلیکیشن‌هایی را هدف قرار می‌دهد که تصاویر با فرمت‌های HEIF، HEIC یا AVIF را می‌پذیرند و پردازش می‌کنند.
نقش هوش مصنوعی در تسریع حمله
در این پژوهش، تیم Hacktron از مدل Claude Opus 5 برای تحلیل نقص و تبدیل آن به یک مسیر عملیاتی جهت RCE استفاده کردند. طبق گزارش‌ها، استفاده از AI باعث شد زمان لازم برای تبدیل یک شناسایی اولیه به یک اکسپلویت فعال، از هفته‌ها به تنها یک تا سه روز کاهش یابد. این موضوع نشان‌دهنده خطر افزایش سرعت توسعه سلاح‌های سایبری با کمک مدل‌های زبانی بزرگ است.
جزئیات فنی آسیب‌پذیری
هسته اصلی این مشکل در نحوه تجزیه (Parsing) داده‌های تصویری توسط کتابخانه‌های libheif و libde265 نهفته است. تصاویر HEIC دست‌کاری شده می‌توانند از طریق خط لوله آپلود (Upload Pipeline) یک اپلیکیشن به رمزگشای زیرین برسند و باعث ایجاد Heap-buffer Overflow شوند. این وضعیت به مهاجم اجازه می‌دهد تا حافظه سیستم را بخواند یا آن را تغییر دهد.
در یکی از سناریوهای اثبات مفهوم (PoC)، مهاجمان توانستند از طریق یک تالار گفتگو (Forum) مبتنی بر Discourse، حساب‌های کاربری کارکنان را به خطر انداخته و با استفاده از اعتبارنامه‌های به‌دست‌آمده، یک Pull Request در مخزن کد داخلی سازمان ارسال کنند.
راهکارهای دفاعی و پیشگیرانه
- شناسایی نقاط ورود: تمامی سرویس‌هایی که فایل‌های HEIF، HEIC یا AVIF را می‌پذیرند (از جمله APIها و ابزارهای داخلی توسعه‌دهندگان) باید شناسایی شوند.
- به‌روزرسانی کتابخانه‌ها: اطمینان حاصل کنید که نسخه‌های به‌روز libheif و libde265 نصب شده‌اند. توجه داشته باشید که به‌روزرسانی لایه Front-end کافی نیست و باید پکیج‌های داخل Container یا سیستم‌عامل نیز آپدیت شوند.
- ایزوله‌سازی محیط پردازش: عملیات تبدیل تصاویر باید در محیط‌های ایزوله (Isolated Environments) با دسترسی‌های حداقلی (Minimal Permissions) و به صورت موقت اجرا شوند.
- کنترل‌های سخت‌گیرانه آپلود: اعمال محدودیت در اندازه فایل، بررسی دقیق نوع فایل (File-type checks) و مانیتورینگ تلاش‌های مکرر و ناموفق برای پردازش تصاویر.
