کمیته رکن چهارم – وجود آسیبپذیری در کتابخانه گوگل به اپلیکیشن‌های مخرب اجازه می‌دهد به اطلاعات شخصی کاربران دسترسی داشته باشند.
یکی از مهم‌ترین مسائل موجود در عصر حاضر امنیت است؛ اما متأسفانه همیشه مسائلی وجود دارند که آن را به خطر می‌اندازند. بر اساس جدیدترین آمار، بعضی از اپلیکیشن‌های اندروید با صدها میلیون دانلود در معرض حملاتی هستند که به برنامه‌های مخرب امکان سرقت فهرست مخاطبان، اطلاعات ورود به سیستم، پیام‌های خصوصی و سایر اطلاعات حساس می‌دهند. به گفته‌ی شرکت امنیتی Check Point، مرورگر Edge، ضبط‌کننده فیلم و اسکرین صفحه XRecorder و ویرایشگر فیلم PowerDirector از جمله اپلیکیشن‌های آسیب‌دیده هستند.
این آسیبپذیری درواقع در Google Play Core Library (مجموعه‌ای از توابع ساخته‌شده توسط گوگل) به وجود آمده است. این کتابخانه به برنامه‌ها امکان می‌دهد روند به‌روزرسانی را ساده‌تر کنند؛ به‌عنوان مثال، این بخش به اپلیکیشن‌ها کمک می‌کند در پس‌زمینه، به‌روزرسانی جدید را دانلود کنند. همچنین این قسمت وظیفه‌ی مشخص کردن مدل دستگاه برای ارتقای یک برنامه‌ی خاص را دارد.
یک آسیبپذیری اصلی
در ماه آگوست، شرکت امنیتی Oversecured یک اشکال امنیتی در Google Play Core Library را فاش کرد که به برنامه نصب‌شده اجازه می‌داد کدهای مخرب را در متن هر اپلیکیشن دیگری که به نسخه کتابخانه آسیب‌پذیر متکی است، اجرا کند.
این آسیبپذیری به دلیل وجود نقص در بخش «عبور از دایرکتوری» است. این مشکل به منابع غیر معتبر اجازه می‌دهد فایل‌ها را در پوشه‌ای کپی کنند که باید فقط به کد معتبر دریافتی از گوگل پلی اختصاص داده شود. درواقع این آسیبپذیری می‌تواند کاری کند که یکی از اصلی‌ترین قوانین این بخش نادیده گرفته شود. در حالتی که این باگ وجود نداشته باشد، هیچ کدام از اپلیکیشن‌ها به اطلاعات یا کد برنامه‌ی دیگر دسترسی ندارند؛ اما با وجود این مشکل، کاملا مسئله متفاوت است.
گوگل در آوریل گذشته، پچ امنیتی حل مشکل کتابخانه خود را منتشر کرد؛ اما برای رفع آسیبپذیری مذکور در اپلیکیشن‌ها، توسعه‌دهندگان ابتدا باید کتابخانه به‌روز‌شده را بارگیری کنند و سپس آن را در کد برنامه‌ی خود قرار دهند. طبق یافته‌های شرکت تحقیقاتی Check Point، تعداد زیادی از توسعه‌دهندگان هنوز در حال استفاده از نسخه آسیب‌پذیر کتابخانه هستند و این مسئله اصلا نمی‌تواند برای امنیت کاربران خوب باشد.
آوانان هازوم و جاناتان شیمونوویچ، دو تن از محققان Check Point، نوشتند:
وقتی اپلیکیشن‌های محبوبی که از کتابخانه Core Google Play استفاده می‌کنند در کنار آسیبپذیری بخش اجرای کد داخلی قرار می‌دهیم، نتیجه نهایی به‌وضوح خطرات پیش رو را نشان می‌دهد. اگر یک برنامه مخرب از این آسیبپذیری سوء استفاده کند، می‌تواند در برنامه‌های محبوب کدهای خاصی اجرا کند و دسترسی‌های آن با برنامه‌ی آسیب‌پذیر یکسان می‌شود؛ این یعنی توسعه‌دهندگان برنامه‌های مخرب می‌توانند به همان اطلاعات کاربر دسترسی داشته باشند که اپلیکیشن‌های آسیب‌پذیر دارند.
روش‌هایی که می‌توان از این آسیبپذیری سوءاستفاده کرد فقط توسط خلاقیت ما محدود می‌شود. در اینجا چند نمونه ذکر شده است:
- تزریق کد به برنامه‌های بانکی برای گرفتن اعتبار و مجوز دریافت پیامک برای سرقت کد احراز هویت دو عاملی
- تزریق کد به اپلیکیشن‌های سازمانی برای دسترسی به منابع شرکت
- تزریق کد به اپلیکیشن‌های شبکه‌های اجتماعی برای جاسوسی قربانی و ردیابی دستگاه از طریق دسترسی به موقعیت مکانی
- تزریق کد به پیام‌رسان برای دریافت همه پیام‌ها یا حتی ارسال پیام از طرف قربانی
شرکت Chech Point برای ثابت کردن وجود چنین آسیبپذیری خطرناکی، از یک اپلیکیشن مخرب برای سرقت کوکی احراز هویت نسخه‌ی قدیمی گوگل کروم استفاده کرد. با در اختیار داشتن کوکی، مهاجم می‌تواند دسترسی غیر مجاز به حساب Dropbox قربانی را به دست آورد.
این شرکت موفق به کشف ۱۴ اپلیکیشن شده است که در مجموع، حدود ۸۵۰ بار دانلود شده‌اند و همچنان آسیب‌پذیر هستند. چند ساعت پس از انتشار گزارش، این شرکت امنیتی گفت توسعه‌دهندگان برخی از برنامه‌های نام‌‌برده، به‌روزرسانی‌هایی منتشر کرده‌اند که این آسیبپذیری را برطرف کرده است.
برنامه‌های شناسایی‌شده در تحقیقات شامل Edge ،XRecorder و PowerDirector هستند که در مجموع، حدود ۱۶۰ میلیون بار دانلود شده‌اند. البته هنوز هیچ گزارشی منتشر نشده است که حل شدن این مشکل در اپلیکیشن‌های مذکور را اطلاع دهد. توسعه‌دهندگان باید هرچه سریع‌تر برای رفع این مشکل اقدام کنند؛ زیرا امنیت کاربران نباید بیشتر از این به خطر بیفتد.
منبع : زومیت
