נראה כי עבודתה של גוגל להגנה על משתמשי אנדרואיד אינה נגמרת לעולם. חברת מנועי החיפוש והבעלים של מערכת ההפעלה הסלולרית הנפוצה ביותר על פני כדור הארץ מזהירה כי משתמש זדוני יכול לקבל גישה של משתמש-על מיישום שמנצל פרצת אבטחה מה היה התגלה לפני לא פחות משנתיים. הבאג שהוזכר קיים בגרעין לינוקס, שהוא איפה אנדרואיד זה מפותח.
בעיית האבטחה ידועה מאז אפריל 2014, אם כי באותה תקופה היא לא תויגה כ"פגיעות ". אבל בפברואר 2015 התגלה כי זה כשל בליבה היו לה השלכות ביטחוניות, ובשלב זה הם כבר נתנו לו מזהה (CVE-2015-1805). בנוסף, הבעיה לא הייתה קיימת עד שהותאמה התוכנה לאנדרואיד, סיבה נוספת לכך שלא קיבלה חשיבות כה רבה עד לפני קצת יותר משנה.
הסיפור מגיע מרחוק
בחודש שעבר הצוות צוות ליבה גילה כי האקרים יכולים לנצל את האקרים כדי לקבל גישה שורש למכשיר. האקר עם גישה שורש למכשיר יש גישת משתמש-על, שהוא שליטה גדול עוד יותר מבעל המכשיר או יישומי צד שלישי. על ידי ניצול פגיעות זו, פושע הסייבר יכול לגשת ו / או לשנות כל קובץ במערכת ההפעלה, שלא נשמע טוב בכלל.
צוות CoRE הודיע ל- Google על קיומו של ה- לנצל וחברת ה- Finder הגדולה התחילה לעבוד על תיקון שהיה צריך לכלול בעדכון אבטחה עתידי, אבל לא היה להם מספיק זמן לתקן את זה ול Zimperiumצוות האבטחה שגילה Stagefright, אמר לגוגל כי לנצל הוא כבר היה קיים בנקסוס 5 והגיע אליו דרך אפליקציה מחנות Play שנחסמה כעת.
גוגל יכולה לחסום אפליקציות שמנסות להשיג גישה שורש למכשיר, אך אינך יכול לדעת כמה זמן היישום הזדוני עושה את שלו. בהצהרת אבטחה, גוגל אמרה כי "גוגל אישרה את קיומה של אפליקציית גישה לשורש הזמינה לציבור, שהשתמשה בפגיעות זו ב- Nexus 5 וב- Nexus 6 כדי לספק הרשאות משתמש-על במכשיר המכשיר. שם משתמש".
גוגל סיווגה בעיה זו עם דרגת חומרה «קריטית», אך היישום המדובר לא נחשב כזדוני. יתר על כן, ציון החומרה הקריטי פירושו כי האקרים אחרים יכולים להשתמש בו לנצל להפיץ את התוכנה הזדונית.
כבר יש טלאי בדרך
גוגל כבר פרסמה תיקונים לתיקון בעיית אבטחה זו בפרויקט הקוד הפתוח של Android (AOSP) עבור גרסאות 3.4, 3.10 ו- 3.14 של גרעין האנדרואיד. הגרסאות עם גרעין 3.18 ומעלה אינם פגיעים לכישלון זה. התיקונים ייכללו בעדכון האבטחה של אפריל למכשירי Nexus, שהם חדשות טובות למשתמשים שבבעלותם Nexus, אך משתמשים אחרים יצטרכו להמתין עד שחברת המכשיר שלהם תשחרר את העדכון שלהם. זה יכול לקחת ימים, שבועות. או חודשים.
איך להגן על עצמך
כמו במקרים רבים אחרים, השכל הישר הוא האנטי-וירוס הטוב ביותר. הדבר הטוב ביותר לעשות הוא תמיד להוריד יישומים מחנויות רשמיות. במקרה של יישומים שהורדו מגוגל פליי, אם יש אפליקציה מסוכנת, היא חסומה על ידי גוגל עצמה, ולכן היא לא הייתה יכולה לעשות בה שימוש. לנצל והיינו בטוחים לחלוטין. אם עלינו להתקין יישום מחוץ לגוגל פליי, שווה שיהיה לנו את אימות אפליקציה מהגדרות הטלפון. יש גם אפשרות במכשירים מסוימים שסורקת את המערכת לאיתור איומים, דבר שיכול להשפיע על ביצועי המכשיר, אבל זה יכול להיות שווה את זה.
כדי לדעת אם התקן קיבל את תיקון האבטחה שמתקן בעיה זו, עליך להיכנס לחלק תיקוני האבטחה בטלפון. אם העדכון האחרון אומר 1 באפריל ואילך, לא תהיה שום בעיה. אם לא, היזהר מאוד במה שאתה עושה.