اكتشف الباحثون في Project Zero ثغرة أمنية مستغلة بشكل نشط والتي تهدد أجهزة Google Pixel وغيرها! واصل القراءة!
تحديث 10/10/19 @ 3:05 صباحًا بالتوقيت الشرقي: تم تصحيح ثغرة Android ذات اليوم الصفري من خلال التصحيح الأمني بتاريخ 6 أكتوبر 2019. قم بالتمرير إلى الأسفل لمزيد من المعلومات. المقال المنشور بتاريخ 6 أكتوبر 2019 محفوظ أدناه.
لقد كان الأمن واحدًا من الأولويات القصوى في تحديثات Android الأخيرة، مع التحسينات والتغييرات في التشفير والأذونات والمعالجة المتعلقة بالخصوصية باعتبارها بعضًا من الميزات الرئيسية. مبادرات أخرى مثل مشروع الخط الرئيسي لنظام Android 10 تهدف إلى تسريع التحديثات الأمنية من أجل جعل أجهزة Android أكثر أمانًا. لقد كانت Google أيضًا مجتهدة ودقيقة في تصحيحات الأمانوعلى الرغم من أن هذه الجهود تستحق الثناء في حد ذاتها، إلا أنه سيظل هناك دائمًا مجال للاستغلال ونقاط الضعف في نظام تشغيل مثل Android. كما اتضح، يُزعم أن المهاجمين يستغلون ثغرة أمنية صفرية في نظام Android مما يتيح لهم السيطرة الكاملة على هواتف معينة من Google وHuawei وXiaomi وSamsung وغيرها.
جوجل المشروع صفر الفريق لديه
وبلغة أبسط، يمكن للمهاجم تثبيت تطبيق ضار على الأجهزة المتضررة وتحقيق الجذر دون علم المستخدم، وكما نعلم جميعًا، ينفتح الطريق تمامًا بعد ذلك. وبما أنه يمكن ربطه باستغلال آخر في متصفح Chrome، فيمكن للمهاجم أيضًا تنفيذه التطبيق الضار من خلال متصفح الويب، مما يلغي الحاجة إلى الوصول الفعلي إلى التطبيق جهاز. إذا كان هذا يبدو خطيرًا بالنسبة لك، فهذا لأنه بالتأكيد كذلك، وقد تم تصنيف الثغرة الأمنية على أنها "عالية الخطورة" على نظام Android. والأسوأ من ذلك، أن هذا الاستغلال لا يتطلب سوى القليل من التخصيص لكل جهاز، كما أن الباحثين في Project Zero لديهم أيضًا دليل على استخدام الاستغلال في البرية.
يبدو أنه تم تصحيح الثغرة الأمنية في ديسمبر 2017 في إصدار Linux Kernel 4.14 LTS ولكن من دون تتبع CVE. ثم تم دمج الإصلاح في الإصدارات 3.18, 4.4، و 4.9 من نواة أندرويد. ومع ذلك، لم يصل الإصلاح إلى تحديثات أمان Android، مما ترك العديد من الأجهزة عرضة لهذا الخلل الذي يتم تتبعه الآن باسم CVE-2019-2215.
القائمة "غير الشاملة" للأجهزة التي تبين أنها متأثرة هي كما يلي:
- جوجل بيكسل
- جوجل بكسل XL
- جوجل بيكسل 2
- جوجل بيكسل 2 اكس ال
- هواوي بي 20
- Xiaomi ريدمي 5A
- شاومي ريدمي نوت 5
- شياو مي A1
- ممن لهم A3
- موتو Z3
- هواتف LG تعمل بنظام التشغيل Android Oreo
- سامسونج جالاكسي اس 7
- سامسونج جالاكسي اس 8
- سامسونج جالاكسي اس9
ومع ذلك، كما ذكرنا سابقًا، هذه ليست قائمة شاملة، مما يعني أنه من المحتمل أيضًا أن تقوم بذلك العديد من الأجهزة الأخرى لقد تأثروا بهذه الثغرة الأمنية على الرغم من وجود تحديثات أمان Android جديدة مثل تلك التي تم إصدارها في سبتمبر 2019. يقال إن Google Pixel 3 وPixel 3 XL وGoogle Pixel 3a وPixel 3a XL في مأمن من هذه الثغرة الأمنية. سيتم تصحيح الثغرة الأمنية في أجهزة Pixel المتأثرة في التحديث الأمني القادم لنظام Android في أكتوبر 2019، والذي من المفترض أن يتم نشره خلال يوم أو يومين. تم توفير التصحيح لشركاء Android "من أجل ضمان حماية نظام Android البيئي من هذه المشكلة"، ولكن نظرًا لمدى إهمال وعدم مبالاة بعض مصنعي المعدات الأصلية بشأن التحديثات، فإننا لن نحبس أنفاسنا عند تلقي الإصلاح في الوقت المناسب طريقة.
شارك فريق بحث Project Zero استغلالًا محليًا لإثبات المفهوم لتوضيح كيف يمكن استخدام هذا الخطأ للحصول على قراءة/كتابة عشوائية للنواة عند التشغيل محليًا.
وقد وعد فريق بحث Project Zero بتقديم شرح أكثر تفصيلاً للخطأ ومنهجية التعرف عليه في منشور مدونة مستقبلي. آرس تكنيكا يرى أن هناك فرصًا ضئيلة للغاية للاستغلال من خلال هجمات باهظة الثمن ومستهدفة مثل هذه؛ وأنه يجب على المستخدمين الاستمرار في تأجيل تثبيت التطبيقات غير الضرورية واستخدام متصفح غير Chrome حتى يتم تثبيت التصحيح. في رأينا، نود أن نضيف أنه سيكون من الحكمة أيضًا البحث عن التصحيح الأمني لشهر أكتوبر 2019 لجهازك وتثبيته في أقرب وقت ممكن.
مصدر: المشروع صفر
القصة عبر: آرس تكنيكا
التحديث: تم تصحيح ثغرة Zero-day Android بالتحديث الأمني لشهر أكتوبر 2019
CVE-2019-2215 والذي يتعلق بالثغرة الأمنية لتصعيد امتيازات kernel المذكورة أعلاه لقد تم تصحيحه مع ال التصحيح الأمني لشهر أكتوبر 2019وتحديداً بمستوى التصحيح الأمني 2019-10-06 كما وعدناكم. إذا كان هناك تحديث أمني متوفر لجهازك، فنوصي بشدة بتثبيته في أقرب وقت ممكن.
مصدر: نشرة أمان Android
عبر: تويتر: @ ماديستون