एक सुरक्षा शोधकर्ता ने लिनक्स कर्नेल में एक शून्य-दिवसीय सुरक्षा भेद्यता पाई है जो Google Pixel 6 और अन्य फ़ोनों से समझौता करती है।
हाल के वर्षों में एंड्रॉइड सुरक्षा ने एक लंबा सफर तय किया है। मासिक सुरक्षा पैच को बढ़ावा देने से सैकड़ों खतरों को दूर रखा गया है, जबकि Google Play प्रोटेक्ट प्ले स्टोर से मैलवेयर को रोकने के लिए मौजूद है। हालाँकि, अभी भी ऐसे उदाहरण हैं जहां दुष्ट अभिनेता नापाक उद्देश्यों के लिए एंड्रॉइड के कोड में छिपी कमजोरियों का फायदा उठा सकते हैं। सुरक्षा शोधकर्ता और नॉर्थवेस्टर्न यूनिवर्सिटी के पीएचडी छात्र जेनपेंग लिन ने हाल ही में Google Pixel 6 पर ऐसी भेद्यता की खोज की है, और नवीनतम इंस्टॉल करने के बाद भी आप जोखिम में पड़ सकते हैं। जुलाई 2022 सुरक्षा अद्यतन.
प्रश्न में भेद्यता एंड्रॉइड के कर्नेल भाग को प्रभावित करती है, जिससे हमलावर को मनमाने ढंग से पढ़ने और लिखने की पहुंच, रूट विशेषाधिकार और SELinux को अक्षम करने का अधिकार प्राप्त होता है। इस प्रकार की विशेषाधिकार वृद्धि के साथ, एक दुर्भावनापूर्ण अभिनेता ऑपरेटिंग सिस्टम के साथ छेड़छाड़ कर सकता है, अंतर्निहित सुरक्षा दिनचर्या में हेरफेर कर सकता है और बहुत अधिक नुकसान पहुंचा सकता है।
जबकि लिन ने Google Pixel 6 पर शोषण का प्रदर्शन किया, वर्तमान पीढ़ी के कुछ एंड्रॉइड डिवाइस हैं इस विशेष शून्य-दिन के खतरे के प्रति संवेदनशील, जिसमें Google Pixel 6 Pro और Samsung Galaxy S22 शामिल हैं परिवार। वास्तव में, भेद्यता Linux कर्नेल संस्करण 5.10 चलाने वाले प्रत्येक Android डिवाइस को प्रभावित करता है. लिन के अनुसार, नियमित लिनक्स कर्नेल भी प्रभावित होता है।
विशेष रूप से, भेद्यता का सटीक विवरण सार्वजनिक रूप से जारी नहीं किया गया है। हालाँकि, लिन, युहांग वू और ज़िन्यू जिंग नामक दो अन्य शोधकर्ताओं के साथ ब्लैक हैट यूएसए 2022 में दिखाई देने के लिए तैयार हैं। उनकी प्रस्तुति के संक्षेप के अनुसार - "सावधान: एक नई शोषण विधि! कोई पाइप नहीं, लेकिन गंदे पाइप जैसा गंदा" - हमला वेक्टर मूलतः कुख्यात का एक सामान्यीकृत, फिर भी अधिक शक्तिशाली संस्करण है गंदे पाइप की भेद्यता. इसके अलावा, इसे लिनक्स पर कंटेनर एस्केप हासिल करने के लिए भी बढ़ाया जा सकता है।
हालाँकि Google को पहले ही सूचित किया जा चुका है, हमें अभी तक भेद्यता के लिए कोई सार्वजनिक CVE संदर्भ नहीं मिला है। दिया गया Google के सुरक्षा पैच कैसे काम करते हैं, जब तक सितंबर पैच लागू नहीं हो जाता तब तक हम इस समस्या का समाधान नहीं देख पाएंगे। अच्छी खबर यह है कि यह आरसीई (रिमोट कोड निष्पादन) नहीं है जिसका उपयोग उपयोगकर्ता के साथ बातचीत के बिना किया जा सकता है। हमारी राय में, पैच इंस्टॉल होने तक गैर-भरोसेमंद स्रोतों से यादृच्छिक ऐप्स इंस्टॉल करना बंद करना उचित हो सकता है।
स्रोत:ट्विटर पर जेनपेंग लिन, बुरा व्यक्ति
के जरिए:मिशाल रहमान