በፋየርፎክስ ለ አንድሮይድ አሳሹ በተጋራ ዋይ ፋይ እንዲቆጣጠር የሚያስችል ተጋላጭነት

በፋየርፎክስ ለአንድሮይድ ተለይቷል ከባድ ተጋላጭነት በፕሮቶኮል ትግበራ ኤስ.ኤስ.ፒ.ፒ.በአካባቢያዊ አውታረመረብ ላይ የኔትወርክ አገልግሎቶችን ለማግኘት ይጠቅማል። ተጋላጭነቱ በተመሳሳይ የአካባቢ ወይም ገመድ አልባ አውታረመረብ ላይ የሚገኝ አጥቂ ለፋየርፎክስ መጠይቅ ጥያቄዎች በUPnP XML "LOCATION" መልእክት ምላሽ እንዲሰጥ ያስችለዋል። የዓላማ ትዕዛዞችበአሳሹ ውስጥ የዘፈቀደ URI መክፈት ወይም የሌሎች መተግበሪያዎች ተቆጣጣሪዎች መደወል የሚችሉበት።

ችግሩ እስኪፈታ ድረስ እራሱን ያሳያል ፋየርፎክስ ለአንድሮይድ 68.11.0 እና በፋየርፎክስ ለ Android 79 ስሪት ውስጥ ተወግዷል, ማለትም. የቆዩ የፋየርፎክስ ለአንድሮይድ እትሞች ለአደጋ የተጋለጡ እና ማሻሻልን ይጠይቃሉ። አዲስ እትም አሳሽ (Fenix)፣ በፋየርፎክስ ኳንተም ቴክኖሎጂዎች ላይ የተገነባውን የጌኮቪው ሞተር እና የቤተ-መጻሕፍት ስብስብን የሚጠቀም። የሞዚላ አንድሮይድ አካላት. የፋየርፎክስ ዴስክቶፕ ስሪቶች በዚህ ችግር አይነኩም።

ለተጋላጭነት ምርመራ ተዘጋጅቷል የብዝበዛው ሥራ ምሳሌ። ጥቃቱ የሚካሄደው በተጠቃሚው በኩል ምንም አይነት እርምጃ ሳይወሰድ ነው፤ ተጋላጭ የሆነው የፋየርፎክስ ማሰሻ ለ አንድሮይድ በተንቀሳቃሽ መሣሪያው ላይ እየሰራ መሆኑ እና ተጎጂው ከአጥቂው የኤስኤስዲፒ አገልጋይ ጋር በተመሳሳይ ሳብኔት ላይ መሆኑ በቂ ነው።

ፋየርፎክስ ለአንድሮይድ በየአካባቢው አውታረመረብ ላይ እንደ መልቲሚዲያ ማጫወቻዎች እና ስማርት ቲቪዎች ያሉ የስርጭት መሳሪያዎችን ለመለየት በየጊዜው የኤስኤስዲፒ መልዕክቶችን በብሮድካስት ሁነታ (multicast UDP) ይልካል። በአካባቢያዊ አውታረመረብ ላይ ያሉ ሁሉም መሳሪያዎች እነዚህን መልዕክቶች ይቀበላሉ እና ምላሽ የመላክ ችሎታ አላቸው. በመደበኛነት መሳሪያው ስለ UPnP የነቃ መሳሪያ መረጃ ወደያዘ የኤክስኤምኤል ፋይል ቦታ የሚወስድ አገናኝ ይመልሳል። ጥቃት በሚፈጽሙበት ጊዜ፣ ከኤክስኤምኤል ጋር ካለው አገናኝ ይልቅ፣ ለአንድሮይድ የሐሳብ ትዕዛዝ ያለው ዩአርአይ ማለፍ ይችላሉ።

የፍላጎት ትዕዛዞችን በመጠቀም ተጠቃሚውን ወደ አስጋሪ ጣቢያዎች ማዞር ወይም ወደ xpi ፋይል አገናኝ ማስተላለፍ ይችላሉ (አሳሹ ተጨማሪውን እንዲጭኑ ይጠይቅዎታል)። የአጥቂው ምላሾች በምንም መልኩ የተገደቡ ስላልሆኑ በረሃብ ለመራብ እና አሳሹን በመጫኛ አቅርቦቶች ወይም ተንኮል-አዘል ድረ-ገጾች ለማጥለቅለቅ ሊሞክር ይችላል ተጠቃሚው ይሳሳታል ብሎ በማሰብ የተንኮል-አዘል ፓኬጁን ለመጫን ጠቅ ያድርጉ። በአሳሹ ውስጥ የዘፈቀደ አገናኞችን ከመክፈት በተጨማሪ የፍላጎት ትዕዛዞች በሌሎች አንድሮይድ አፕሊኬሽኖች ውስጥ ይዘትን ለማስኬድ ጥቅም ላይ ሊውሉ ይችላሉ ለምሳሌ በኢሜል ደንበኛ ውስጥ የደብዳቤ አብነት (URI mailto:) መክፈት ወይም ጥሪ ለማድረግ በይነገጽ መክፈት ይችላሉ (ዩአርአይ ቴል፡)

ምንጭ: opennet.ru