شناسایی آسیب‌پذیری روز صفرم افزایش امتیاز در اندروید

کارشناسان امنیت سایبری ترندمیکرو درباره یک آسیب‌پذیری در سیستم‌عامل تلفن همراه اندروید هشدار دادند.

به گزارش افتانا (پایگاه خبری امنیت فناوری اطلاعات)، محققان ترندمیکرو از طریق برنامه‌ Zero Day Initiative به وجود یک آسیب‌پذیری در سیستم‌عامل تلفن همراه اندروید پی بردند.

این نقص در درایور Video For Linux 2 (V4L2) وجود دارد. V4L2 یک درایور سیستمی دو لایه‌ای لینوکس است و از روش‌های مشابه به روش‌های درایور لینوکس معمول، اما با پارامترهایی که فقط مخصوص درایورهای V4L2 است، استفاده می‌کند. تمامی درایورهای V4L2 ماژولار هستند. این آسیب‌پذیری در حالتی وجود دارد که درایور V4L2 داده‌ها را در اندروید مدیریت می‌کند. به عبارتی، این آسیب‌پذیری ناشی از عدم اعتبارسنجی وجود یک شیء است، پیش از آنکه عملیاتی بر روی شیء انجام شود.

یک مهاجم می‌تواند با دسترسی محلی به یک دستگاه آسیب‌پذیر از این نقص امنیتی برای افزایش امتیاز تا سطح هسته، سوءاستفاده کند. اگر دسترسی محلی موجود نباشد، ابتدا باید بتواند کد با دسترسی پایین را در سیستم هدف اجرا کند تا بتواند از این آسیب‌‌پذیری سوءاستفاده کند. این نقص می‌تواند با آسیب‌پذیری‌های دیگر زنجیر شود تا کنترل کامل یک دستگاه را در دست گیرد و آلوده‌سازی اولیه را ایجاد کند.
این آسیب‌پذیری از نظر شدت، «بالا» رتبه‌بندی شده‌است و دارای رتبه‌ ۷.۸ در مقیاس ۱۰ است. از آنجایی که سوءاستفاده‌ موفق از این آسیب‌پذیری نیاز به دسترسی محلی دارد، احتمالاً شدت آن کاهش می‌یابد.

محققان Trend Micro، وجود این نقص را در ۱۳ مارس ۲۰۱۹ به گوگل گزارش دادند و جزییات مربوط به آن را پس از انتشار بولتن امنیتی ماه سپتامبر ۲۰۱۹ گوگل که در آن، این نقص را برطرف نساخته‌بودند، منتشر کردند.

تاکنون راه‌حلی برای این آسیب‌پذیری ارائه نشده‌است. با توجه به ماهیت این آسیب‌پذیری، تنها استراتژی مقابله با آن، محدودکردن تعامل با سرویس است. تنها کلاینت‌ها و کارگزارهایی که یک رابطه‌ رویه‌ای قانونی با سرویس دارند باید مجاز به برقراری ارتباط با آن باشند.