تم الكشف عن ثغرة أمنية حرجة غير مسبوقة في يوم الصفر. وهذه المرة في نظام تشغيل الهواتف المحمولة الأكثر استخداما في العالم Android. وتم اكتشاف ثغرة أمنية في نظام Android خلال اليوم صفر من قبل شركة NSO Group لبائع المراقبة الإسرائيلي. وهي شركة سيئة السمعة لبيعها عمليات استغلال لليوم صفر للحكومات – أو أحد عملائها للتحكم في أجهزة Android الخاصة بأهدافها.
االثغرة تم كتشافها من قبل باحث مشروع Project Zero Maddie Stone. وقد تم نشر التفاصيل وتحديد الثغرة الأمنية على أنها شديدة الخطورة. وتم تتبعها على أنها CVE-2019-2215 اليوم بعد سبعة أيام فقط من إرسالها إلى فريق أمان Android.
استخدام الثغرة في برنامج الموثق الخاص ببرنامج kernel على نظام Android يمكن أن يسمح لمهاجم متميز محلي أو تطبيق بتصعيد امتيازاتهم للحصول على حق الوصول إلى الجذر وإلى جهاز المعرض للإصابة بهجمات الفيروسات ويحتمل أن يكون التحكم الكامل عن بعد في الجهاز.
توجد مشكلة عدم الحصانة في إصدارات Android kernel التي تم إصدارها قبل شهر أبريل من العام الماضي. وقد تم تضمين تصحيحا له في 4.14 LTS Linux kernel الذي تم إصداره في ديسمبر 2017. ولكن تم دمجه فقط في إصدارات AOSP Android kernel 3.18 و 4.4 و 4.9.
لذلك لا تزال معظم أجهزة Android التي تصنعها وتبيعها غالبية البائعين الذين لديهم نواة غير مسبوقة عرضة لهذه الثغرة الأمنية حتى بعد الحصول على آخر تحديثات Android.بما في ذلك طرازات الهواتف الذكية الشهيرة المدرجة أدناه :
- Pixel 1
- Pixel 1 XL
- Pixel 2
- Pixel 2 XL
- Huawei P20
- Xiaomi Redmi 5A
- Xiaomi Redmi Note 5
- Xiaomi A1
- Oppo A3
- Moto Z3
- Oreo LG phones
- Samsung S7
- Samsung S8
- Samsung S9
تجدر الإشارة إلى أن أجهزة Pixel 3 و 3 XL و 3a التي تعمل بأحدث نواة Android ليست عرضة لهذه المشكلة.
وفقًا للباحث، نظرا لأن المشكلة “يمكن الوصول إليها من داخل صندوق Chrome ” يمكن أيضا استغلال الثغرة الأمنية في نواة Android لليوم صفر عن بعد من خلال دمجها مع عيب تقديم Chrome منفصل.
يقول ستون في مدونة Chromium : “هذا الخطأ هو ثغرة محلية في تصاعد الامتيازات يسمح بتسوية كاملة لجهاز ضعيف. إذا تم تسليم الاستغلال عبر الويب. فيجب فقط إقرانه باستغلال عارض، حيث يمكن الوصول إلى هذه الثغرة الأمنية من خلال صندوق الحماية”.
على الرغم من أن Google ستصدر تصحيحا لهذه الثغرة الأمنية في نشرة Android للأمان في أكتوبر في الأيام القادمة. كما أخطرت الشركات المصنعة الأصلية إلا أن معظم الأجهزة المتأثرة لن تتلقى على الأرجح التصحيح فورا على عكس Google Pixel 1 و 2.
يمنح قسم Project Zero من Google عادة لمطوري البرامج مهلة مدتها 90 يوما لإصلاح المشكلة في منتجاتهم المتأثرة قبل الإعلان عن التفاصيل واستغلال PoC.لكن في حالة الاستغلالات النشطة,يتم الإعلان عنها بعد سبعة أيام من الإبلاغ الخاص.
على الرغم من أن مشكلة عدم الحصانة هذه شديدة ويمكن استخدامها للوصول إلى جذر الوصول إلى جهاز Android.فلا يحتاج المستخدمون إلى القلق لأن استغلال مثل هذه المشكلات يقتصر في الغالب على سيناريوهات الهجوم المستهدف.
ومع ذلك، من الأفضل دائما تجنب تنزيل التطبيقات وتثبيتها من متاجر تطبيقات الجهات الخارجية وأي تطبيقات غير ضرورية حتى من متجر Google Play.
المصدر:thehackernews.com
