ड्राइवर v4l2 में भेद्यता एंड्रॉइड प्लेटफ़ॉर्म को प्रभावित कर रही है

ट्रेंडमाइक्रो कंपनी प्रकाशित ड्राइवर में भेद्यता (सीवीई असाइन नहीं किया गया) के बारे में जानकारी v4l2, जो एक वंचित स्थानीय उपयोगकर्ता को लिनक्स कर्नेल के संदर्भ में अपने कोड को निष्पादित करने की अनुमति देता है। भेद्यता के बारे में जानकारी एंड्रॉइड प्लेटफ़ॉर्म के संदर्भ में प्रदान की गई है, बिना यह बताए कि क्या यह समस्या एंड्रॉइड कर्नेल के लिए विशिष्ट है या क्या यह नियमित लिनक्स कर्नेल में भी होती है।

भेद्यता का फायदा उठाने के लिए, हमलावर को सिस्टम तक स्थानीय पहुंच की आवश्यकता होती है। एंड्रॉइड में, हमला करने के लिए, आपको सबसे पहले एक गैर-विशेषाधिकार प्राप्त एप्लिकेशन का नियंत्रण हासिल करना होगा जिसके पास V4L (लिनक्स के लिए वीडियो) सबसिस्टम तक पहुंचने का अधिकार है, उदाहरण के लिए, एक कैमरा प्रोग्राम। एंड्रॉइड में भेद्यता का सबसे यथार्थवादी उपयोग डिवाइस पर विशेषाधिकारों को बढ़ाने के लिए हमलावरों द्वारा तैयार किए गए दुर्भावनापूर्ण अनुप्रयोगों में एक शोषण को शामिल करना है।

इस समय भेद्यता बरकरार है। हालाँकि Google को मार्च में समस्या के बारे में सूचित किया गया था, लेकिन इसमें कोई सुधार शामिल नहीं किया गया था सितम्बर अद्यतन एंड्रॉइड प्लेटफॉर्म. सितंबर एंड्रॉइड सुरक्षा पैच 49 कमजोरियों को ठीक करता है, जिनमें से चार को गंभीर माना जाता है। मल्टीमीडिया फ्रेमवर्क में दो महत्वपूर्ण कमजोरियों को संबोधित किया गया है और विशेष रूप से डिज़ाइन किए गए मल्टीमीडिया डेटा को संसाधित करते समय कोड निष्पादन की अनुमति दी गई है। क्वालकॉम चिप्स के घटकों में 31 कमजोरियां तय की गई हैं, जिनमें से दो कमजोरियों को एक महत्वपूर्ण स्तर सौंपा गया है, जो रिमोट हमले की अनुमति देता है। शेष समस्याओं को खतरनाक के रूप में चिह्नित किया गया है, अर्थात। स्थानीय अनुप्रयोगों में हेरफेर के माध्यम से, एक विशेषाधिकार प्राप्त प्रक्रिया के संदर्भ में कोड निष्पादित करने की अनुमति दें।

स्रोत: opennet.ru