גוגל וסמסונג מתחילות לתקן פגיעות של 'Dirty Pipe'

תיקון האבטחה של אפריל לאנדרואיד לא תיקן את פגיעות האבטחה 'הצינור המלוכלך', אבל חלק מיצרני הציוד המקורי מוציאים תיקונים משלהם.

גוגל פרסמה את עדכון אבטחה לאנדרואיד לאפריל מוקדם יותר השבוע, אבל התיקון לא כלל תיקון עבור פגיעות האבטחה 'הצינור המלוכלך' שזכה לפרסום נרחב בחודש שעבר. למרות שסביר להניח שנצטרך לחכות עד לעדכון מאי כדי שרוב המכשירים יתוקנו, חלק מהיצרנים החלו לתקן את המכשירים שלהם, כולל גוגל עצמה.

Dirty Pipe (CVE-2022-0847) הוא ניצול שהתגלה בקרנל של לינוקס המאפשר למישהו להחדיר ולדרוס נתונים בתהליכי קריאה בלבד, ללא הרשאות שורש או אדמין. הפגיעות כבר שימשה להשגת גישת שורש זמנית באנדרואיד, אך היא עלולה גם לאפשר לתוכנות זדוניות ותוכנות לא ידועות אחרות לקבל גישה למערכת.

Dirty Pipe תוקן כעת בליבת לינוקס (עם גרסאות 5.16.11, 5.15.25 ו-5.10.102), כמו גם גרסת אנדרואיד של ליבת לינוקס, אך התיקון לא נכלל בעדכון האבטחה של אפריל. יש להניח שהוא יגיע בעדכון מאי, אבל לא כולם רוצים לחכות כל כך הרבה זמן. כמה גרעינים מותאמים אישית עבור Pixel 6 ו-Pixel 6 Pro כוללים את התיקון, כולל גרעין קיריסאקורה. אנדרואיד QPR3 Beta 2 של גוגל עבור Pixel 6 ו-Pixel 6 Pro, שהיה שוחרר ביום חמישי, יש גרסת ליבה מתוקנת.

נראה כי סמסונג היא היצרנית היחידה שמוציאה תיקון לטלפונים על תוכנה יציבה, כחלק מאפריל עדכון 2022 במכשירי Galaxy - עלון האבטחה של החברה מזכיר את CVE-2022-0847, והעדכון בוצע מְאוּמָת כדי לחסום התקפות Dirty Pipe. ה-Xiaomi 12/12 Pro עדיין נראה פגיע, מכיוון שהטלפונים האלה לא קיבלו את עדכון האבטחה של אפריל 2022 באף אזור עד כה. OnePlus לא פרסמה את קוד המקור של הליבה עבור 10 Pro, ולא הוציאה עדיין את העדכון של אפריל.

נצטרך לחכות ולראות אילו יצרניות מחכות לעדכון מאי, ואילו חברות דוחפות עדכון מוקדם (כפי שעושה סמסונג). כך או כך, סביר להניח שכדאי להימנע מהתקנת חבילות APK משורטטות לעת עתה.