کمیته رکن چهارم – براساس بولتن امنیتی گوگل که روز دوشنبه منتشر شده است، به‌روزرسانی‌های امنیتی این ماه یکی از بزرگ‌ترین بولتن‌های این شرکت بوده که این شرکت در عرض یک ماه منتشر کرده است. گوگل به‌روزرسانی‌های امنیتی این ماه را به دو سطح از وصله‌ها تقسیم کرده است:
به گزارش کمیته رکن چهارم،• سطح وصله‌ی جزئی: در این سطح آسیب‌پذیری‌هایی وصله شده که بر روی دستگاه‌های اندرویدی بسیار معمول هستند.
• سطح وصله‌ی کامل: در این سطح وصله‌های اضافی برای راه‌انداز دستگاه‌های اندرویدی و برخی مؤلفه‌های هسته‌ی اندروید منتشر شده است.
آسیب‌پذیری حیاتی اجرای کد از راه دور در کارگزار رسانه‌ی اندروید
بیشترین آسیب‌پذیری‌های این ماه در کارگزار رسانه وجود داشت. این مؤلفه یکی از بخش‌های اصلی اندروید است که فرآیندهای تصویری و ویدئوها را مدیریت کرده و در چند سال اخیر یکی از نقاط بسیار آسیب‌پذیر اندروید بوده است. یکی از مهم‌ترین و شناخته‌شده‌ترین آسیب‌پذیری‌ها بر روی این مؤلفه Stagefright نام داشته است.
به‌گفته‌ی شرکت گوگل، آسیب‌پذیری در مؤلفه‌ی کارگزار رسانه، منجر به اجرای کد از راه دور بر روی دستگاه آسیب‌پذیر می‌شود. این آسیب‌پذیری هنگام پردازش پرونده‌های رسانه‌ای در رایانامه، مرورگرهای وب و پیام‌های تصویری قابل بهره‌برداری است. به‌عبارت دیگر یک مهاجم از راه دور می‌تواند با تحریک کاربر به باز کردن پرونده‌های تصویری و ویدئویی در قالب رایانامه، مرورگر وب و هر برنامه‌ی پیام‌رسان دیگر، به اجرای کد دلخواه خود بپردازد.
نکته‌ی جالب در خصوص این آسیب‌پذیری این است که حتی اگر دستگاه شما روشن نیز نباشد، این اشکال قابل بهره‌برداری است چرا که صرف‌نظر از حالت دستگاه، کارگزار رسانه این پرونده‌های مخرب را پردازش خواهد کرد. این آسیب‌پذیری اوایل ژانویه کشف شده و نسخه‌های ۴.۴.۴ و ۷.۱.۲ (کیت‌کت و نوقا) را تحت تأثیر قرار می‌دهد.
آسیب‌پذیری سطح هسته در کوالکام
گوگل این ماه ۴ مورد آسیب‌پذیری سطح هسته در مؤلفه‌ی کوالکام را نیز وصله کرده است. بهره‌برداری از این آسیب‌پذیری‌ها به مهاجم اجازه می‌دهد بر روی دستگاه آسیب‌پذیر به دسترسی‌های ریشه برسد. دو آسیب‌پذیری با شناسه‌های CVE-۲۰۱۶-۱۰۲۷۵ و CVE-۲۰۱۶-۱۰۲۷۶ در راه‌اندازهای کوالکام شرایطی را برای مهاجم بوجود می‌آورد که امتیازات خود را ارتقاء داده و به یک برنامه‌ی محلی مخرب، امکان اجرای کد دلخواه در زمینه‌ی هسته را می‌دهد.
یک آسیب‌پذیری حیاتی دیگر در راه‌انداز توان کوالکام با شناسه‌ی CVE-۲۰۱۷-۰۶۰۴ به برنامه‌ی محلی مخرب اجازه‌ی اجرای کد دلخواه را در زمینه‌ی هسته می‌دهد که یکی از بخش‌های با امتیاز بالا در اندروید محسوب می‌شود. خبر خوب در خصوص این آسیب‌پذیری‌ها این است که گوگل به کاربران خود اطمینان داده که هیچ شواهدی مبنی بر بهره‌برداری از این آسیب‌پذیری‌ها در دنیای واقعی مشاهده نشده است. گوگل می‌گوید انتشار به‌روزرسانی‌ها در قالب دو سطح از وصله‌ها به شرکت‌ها این امکان را می‌دهد تا راحت‌تر آسیب‌پذیری‌هایی که بر روی تمامی دستگاه‌ها معمول است را وصله کنند.
بنابراین به کاربران اکیداً توصیه شده است وصله‌های متعلق به آسیب‌پذیری‌های معمول را بارگیری و نصب کنند تا در معرض حملات احتمالی قرار نگیرند. دستگاه‌های پیکسل و نکسوس نیز در روزهای آتی، به‌روزرسانی‌ها را به‌حالت خودکار بارگیری و نصب می‌کنند و همچنین کاربران این دستگاه‌ها می‌تواند با مراجعه‌ی مستقیم به وب‌گاه گوگل، این به‌روزرسانی‌ها را اعمال کنند.
این نکته نیز قابل توجه است که شرکت گوگل هفته‌ی گذشته اعلام کرد برای دستگاه‌های نکسوس ۶ و نکسوس ۹ که در نوامبر سال ۲۰۱۴ میلادی منتشر شده بودند، پس از اکتبر سال ۲۰۱۷ تضمینی برای انتشار به‌روزرسانی‌های امنیتی وجود نخواهد داشت. چنین مدت زمانی برای نسخه‌های جدید دستگاه پیکسل تا اکتبر ۲۰۱۹ نیز اعلام شده است. پس از این بازه‌ی زمانی، شرکت گوگل برای این دستگاه‌ها صرفاً به‌روزرسانی‌های ضروری را منتشر خواهد کرد.
منبع:
