جدول المحتويات:
- ما هو Stagefright 2.0؟
- هل يتأثر هاتفي أو جهازك اللوحي؟
- ما الذي تفعله Google حيال ذلك؟
- كيف أظل آمنًا حتى يصل التصحيح إلى هاتفي أو جهازك اللوحي؟
- هل هذه هي نهاية العالم؟
تمتلئ الشهرين الماضيين بالكثير من عدم اليقين الذي يحيط بسلسلة من المشكلات التي يطلق عليها اسم Stagefright ، وهو الاسم الذي تم اكتسابه لأن معظم المشكلات التي تم العثور عليها تتعلق بـ libstagefright في Android. نشرت شركة الأمن Zimperium ما يسمونه Stagefright 2.0 ، مع قضيتين جديدتين تحيطان بملفات mp3 و mp4 والتي يمكن معالجتها لتنفيذ تعليمات برمجية ضارة على هاتفك.
إليك ما نعرفه حتى الآن ، وكيفية الحفاظ على أمانك.
ما هو Stagefright 2.0؟
وفقًا لـ Zimperium ، فإن زوجًا من الثغرات المكتشفة مؤخرًا يمكّن المهاجم من تقديم هاتف أو كمبيوتر لوحي يعمل بنظام Android مع ملف يشبه MP3 أو MP4 ، لذلك عند معاينة البيانات التعريفية لهذا الملف بواسطة نظام التشغيل ، يمكن تنفيذ هذا الملف رمز الخبيثة. في حالة هجوم رجل في الوسط أو موقع ويب مصمم خصيصًا لتسليم هذه الملفات المشوهة ، يمكن تنفيذ هذا الرمز دون معرفة المستخدم.
تدعي Zimperium أنها أكدت التنفيذ عن بُعد ، ولفتت انتباه Google إلى ذلك في 15 أغسطس. ردًا على ذلك ، عيّنت Google CVE-2015-3876 و CVE-2015-6602 لزوج المشكلات المبلغ عنها وبدأت العمل على حل المشكلة.
هل يتأثر هاتفي أو جهازك اللوحي؟
بطريقة أو بأخرى ، نعم. يشير CVE-2015-6602 إلى ثغرة أمنية في libutil ، وكما تشير Zimperium في منشوراتها معلنة اكتشاف هذه الثغرة الأمنية ، فإنها تؤثر على كل هاتف يعمل بنظام Android وجهاز الكمبيوتر اللوحي يعود إلى Android 1.0. يؤثر CVE-2015-3876 على كل هاتف Android 5.0 أو إصدار أعلى أو هاتف أو جهاز لوحي ، ويمكن نظريا تسليمها عبر موقع الويب أو رجل في الهجوم الأوسط.
ومع ذلك.
لا يوجد حاليًا أي أمثلة عامة عن مشكلة عدم الحصانة هذه من أي وقت مضى لاستغلال أي شيء خارج ظروف المختبر ، ولا تخطط Zimperium لمشاركة استغلال إثبات المفهوم الذي استخدموه لإثبات هذه المشكلة إلى Google. في حين أنه من المحتمل أن يقوم شخص آخر باستكشاف هذا الاستغلال قبل أن تصدر Google رقعة ، مع بقاء التفاصيل الكامنة وراء هذا الاستغلال سرية ، فمن غير المحتمل.
ما الذي تفعله Google حيال ذلك؟
وفقًا لبيان من Google ، يعالج تحديث الأمان لشهر أكتوبر كلا من هذه الثغرات الأمنية. سيتم إجراء هذه التصحيحات في AOSP وسيتم طرحها على مستخدمي Nexus اعتبارًا من 5 أكتوبر. ربما لاحظ قراءات Eagle eyed جهاز Nexus 5X و Nexus 6P الذي نظرنا إليه مؤخرًا بالفعل وقد تم تثبيت تحديث 5 أكتوبر ، لذا إذا طلبت أحد هذه الهواتف مسبقًا ، فستصل أجهزتك إلى هذه الثغرات الأمنية. ستكون هناك معلومات إضافية حول التصحيح في Android Security Google Group في 5 أكتوبر.
بالنسبة إلى الهواتف غير التابعة لشركة Nexus ، قدمت Google تحديث الأمان لشهر أكتوبر إلى الشركاء في 10 سبتمبر ، وتعمل مع شركات تصنيع المعدات الأصلية وشركات النقل لتقديم التحديث في أقرب وقت ممكن. إذا ألقيت نظرة على قائمة الأجهزة المصححة في استغلال Stagefright الأخير ، فلديك صورة معقولة عن الأجهزة التي تعتبر أولوية في هذه العملية.
كيف أظل آمنًا حتى يصل التصحيح إلى هاتفي أو جهازك اللوحي؟
في حالة ما إذا كان شخص ما يركض حقًا باستخدام ميزة Stagefright 2.0 ومحاولة إصابة مستخدمي Android ، وهو أمر غير مرجح جدًا نظرًا لعدم توفر التفاصيل العامة ، فإن مفتاح الحفاظ على الأمان له علاقة بكل شيء مع الانتباه إلى المكان الذي تتواجد فيه إعادة التصفح وما تتصل به.
تجنب الشبكات العامة عندما تستطيع ذلك ، واعتمد على المصادقة ثنائية العوامل كلما أمكن ذلك ، والبقاء بعيدًا عن مواقع الويب المشبوهة قدر الإمكان. في الغالب ، الأشياء الجيدة على شبكة الإنترنت للحفاظ على نفسك آمنة.
هل هذه هي نهاية العالم؟
ولا حتى قليلا. على الرغم من أن جميع ثغرات Stagefright خطيرة بالفعل ويجب معالجتها على هذا النحو ، فإن التواصل بين Zimperium و Google لضمان معالجة هذه المشكلات في أسرع وقت ممكن كان رائعًا. لفت Zimperium عن حق الانتباه إلى مشاكل Android ، وتدخلت Google لإصلاحها. في عالم مثالي ، لن توجد هذه الثغرات الأمنية ، لكنها موجودة ويتم معالجتها بسرعة. لا يمكن أن تطلب أكثر من ذلك بكثير ، بالنظر إلى الموقف الذي نحن فيه.
