بر طبق گزارش امنیتی منتشرشده توسط گوگل برای اندروید[۱] در ماه می ۲۰۱۷، به‌روزرسانی امنیتی منتشرشده در این ماه یکی از بزرگ‌ترین وصله‌های امنیتی این شرکت است که در عرض یک ماه منتشرشده است.
گوگل، این گزارش امنیتی ماهانه را به ۲ بخش تقسیم کرده است:
- سطح وصله امنیتی جزئی (۲۰۱۷-۰۵-۰۱) وصله‌هایی را پوشش می‌دهد که برای آسیب‌پذیری‌های تمام دستگاه‌های بر پایه اندروید مشترک هستند.
- سطح وصله امنیتی کامل (۲۰۱۷-۰۵-۰۵) شامل وصله‌های اضافی برای درایورهای سخت‌افزاری و اجزاء هسته است که تنها بر روی بعضی از دستگاه‌ها وجود دارد.
نقص حیاتی RCE در Mediaserver اندروید
بیشترین آسیب‌پذیری‌های شدید در Mediaserver قرار دارند که جزئی از اندروید بوده و وظیفه پردازش کردن فایل‌های عکس و فیلم را بر عهده دارد. این آسیب‌پذیری‌ها منبع بسیاری از مشکلات در چند سال گذشته بوده‌اند[۲]، که شامل آسیب‌پذیری‌های Stagefright نیز می‌شود[۳].
بر طبق گزارش این غول موتورهای جستجو، این آسیبپذیری در Mediaserver می‌تواند گزینه اجرای کد از راه دور را بر روی دستگاه آلوده‌شده و از طریق چندین روش شامل پست الکترونیک، مرور کردن وب و پیام‌های چندرسانه‌ای و در هنگام پردازش فایل‌ها توسط این روش‌ها، فعال کند.
به‌بیان‌دیگر، مهاجمان می‌توانند توسط فریب کاربر به‌منظور دانلود کردن یک فایل مولتی‌مدیای دستکاری‌شده بر روی دستگا‌هش یا به اشتراک‌گذاری فایل مدیا از طریق پست الکترونیک یا دیگر برنامه‌های پیام‌رسان و اجرای کد دلخواه از راه دور، از آسیبپذیری Mediaserver بهره‌برداری کنند.
نکته جالب‌توجه اینجاست که این آسیبپذیری در هنگامی‌که شما خواب هستید نیز قابلیت فعال شدن دارد به این نحو که این امر ضروری نیست تا شما فایل موردنظر را باز کنید چراکه به‌محض دریافت فایل مدیا توسط دستگاه شما، این سیستم فایل منجر به این می‌شود که Mediaserver آن را پردازش کند.
این آسیبپذیری در اوایل ژانویه ۲۰۱۷ کشف شد و بر روی اندرویدهای KitKat نسخه ۴٫۴٫۴ تا Nougat نسخه ۷٫۱٫۲ تأثیرگذار است.
آسیب‌پذیری‌های سطح هسته در Qualcomm
گوگل همچنین چهار آسیبپذیری حیاتی را که ریشه در اجزای Qualcomm داشتند را وصله کرده است که می‌تواند به یک مهاجم اجازه دهد تا سطح دسترسی در حد ریشه بر روی دستگاه اندروید داشته باشد.
بر طبق گزارش منتشرشده، دو آسیبپذیری CVE-2016-10275 و CVE-2016-10276 در bootloader اجزای Qualcomm شرایط را برای حملات افزایش سطح دسترسی فراهم کرده‌اند و از این طریق به یک برنامه مخرب محلی اجازه می‌دهند تا کد دلخواه خود را در زمینه هسته اجرا کند.
یک اشکال حیاتی Qualcomm دیگر به نام CVE-2017-0604 در درایور power نیز می‌تواند به یک برنامه مخرب محلی اجازه دهد تا یک کد مخرب را بر روی دستگاه موردنظر و درزمینه هسته اجرا کند که این بخش، سبیشترین سطح دسترسی را در سیستم‌عامل داراست.
هیچ مدرکی مبنی بر اینکه این آسیب‌پذیری‌ها در سطح اینترنت مورد بهره‌برداری قرار گرفته باشد وجود ندارد.
۶ وصله حیاتی از ۱۷ وصله به‌عنوان وصله‌های امنیتی بخش ۲۰۱۷-۰۵-۰۱ منتشر شدند درحالی‌که باقی‌مانده ۱۱ مشکل امنیتی حیاتی بر روی درایورهای مختلف، کتابخانه‌ها و bootloaderها تأثیرگذار بودند و در تقسیم‌بندی سطح وصله امنیتی کامل (۲۰۱۷-۰۵-۰۵) وصله شدند.
خبر خوب این است که گوگل به کاربرانش اطمینان داده است که هیچ گزارشی مبنی بر بهره‌برداری شدن از این آسیب‌پذیری‌ها در سطح اینترنت وجود ندارد.
گوگل می‌گوید که داشتن دو سطح‌بندی برای وصله‌ها، این امر را برای کاربران اندروید راحت می‌کند تا سریع‌تر یک زیرمجموعه از آسیب‌پذیری‌ها را وصله کرده که در تمامی دستگاه‌های دارای سیستم‌عامل اندروید مشترک هستند.
بنابراین به کاربران شدیداً توصیه می‌شود تا آخرین به‌روزرسانی امنیتی اندروید را دانلود کرده تا دستگاه‌هایشان از هرگونه حمله‌ای در امان باشد.
دستگاه‌های Nexus و Pixel وصله کامل این آسیب‌پذیری‌ها را در یک به‌روزرسانی over-the-air در روزهای آتی دریافت می‌کنند یا اینکه صاحب دستگاه می‌تواند این به‌روزرسانی را به‌طور مستقیم و از سایت سازنده[۴] دریافت کند.
همچنین گوگل در هفته گذشته این خبر را منتشر کرده است که Nexus 6 و Nexus 9 که در نوامبر سال ۲۰۱۴ منتشرشده بودند، از ماه اکتبر ۲۰۱۷ دیگر به‌روزرسانی امنیتی نمی‌شوند.
یک برنامه زمانی مشابه (اکتبر ۲۰۱۹) نیز برای نسخه‌های جدیدتر گوشی‌های Pixel و Pixel XL منتشرشده است. بعدازاین تاریخ شرکت گوگل تنها به‌روزرسانی‌های امنیتی ضروری را برای این دستگاه‌ها منتشر خواهد کرد.
منابع
[۱] https://source.android.com/security/bulletin/2017-05-01#announcements
[۲] http://thehackernews.com/2016/02/update-android-security.html
[۳] http://thehackernews.com/2015/07/android-phone-hacking.html
[۴] https://developers.google.com/android/ota
[۵] http://thehackernews.com/2017/05/android-security-update.html
ثبت ديدگاه