ភាពងាយរងគ្រោះនៅក្នុងកម្មវិធីបញ្ជា v4l2 ប៉ះពាល់ដល់ប្រព័ន្ធប្រតិបត្តិការ Android

ក្រុមហ៊ុន TrendMicro បានផ្សព្វផ្សាយ ព័ត៌មានអំពីភាពងាយរងគ្រោះ (CVE មិនត្រូវបានកំណត់) នៅក្នុងកម្មវិធីបញ្ជា v4l2ដែលអនុញ្ញាតឱ្យអ្នកប្រើក្នុងតំបន់ដែលគ្មានសិទ្ធិអនុវត្តកូដរបស់ពួកគេនៅក្នុងបរិបទនៃខឺណែលលីនុច។ ព័ត៌មានអំពីភាពងាយរងគ្រោះត្រូវបានផ្តល់ជូននៅក្នុងបរិបទនៃវេទិកាប្រព័ន្ធប្រតិបត្តិការ Android ដោយមិនលម្អិតថាតើបញ្ហានេះមានលក្ខណៈជាក់លាក់ចំពោះខឺណែល Android ឬថាតើវាកើតឡើងនៅក្នុងខឺណែលលីនុចធម្មតាផងដែរ។

ដើម្បីទាញយកភាពងាយរងគ្រោះ អ្នកវាយប្រហារទាមទារការចូលប្រើមូលដ្ឋានទៅកាន់ប្រព័ន្ធ។ នៅក្នុងប្រព័ន្ធប្រតិបត្តិការ Android ដើម្បីវាយប្រហារ ដំបូងអ្នកត្រូវទទួលបានការគ្រប់គ្រងលើកម្មវិធីដែលមិនមានសិទ្ធិទទួលបានសិទ្ធិចូលប្រើប្រព័ន្ធរង V4L (វីដេអូសម្រាប់លីនុច) ឧទាហរណ៍ កម្មវិធីកាមេរ៉ា។ ការប្រើប្រាស់ជាក់ស្តែងបំផុតនៃភាពងាយរងគ្រោះនៅក្នុងប្រព័ន្ធប្រតិបត្តិការ Android គឺដើម្បីរួមបញ្ចូលការកេងប្រវ័ញ្ចនៅក្នុងកម្មវិធីព្យាបាទដែលរៀបចំដោយអ្នកវាយប្រហារដើម្បីបង្កើនសិទ្ធិនៅលើឧបករណ៍។

ភាពងាយរងគ្រោះនៅតែមិនទាន់ជួសជុលនៅពេលនេះ។ ទោះបីជា Google ត្រូវបានគេជូនដំណឹងអំពីបញ្ហានេះនៅក្នុងខែមីនាក៏ដោយ ក៏ការជួសជុលមិនត្រូវបានរួមបញ្ចូលនៅក្នុង បច្ចុប្បន្នភាពខែកញ្ញា វេទិកាប្រព័ន្ធប្រតិបត្តិការ Android ។ បំណះសុវត្ថិភាព Android ខែកញ្ញា ជួសជុលភាពងាយរងគ្រោះចំនួន 49 ដែលក្នុងនោះ 31 ត្រូវបានវាយតម្លៃថាមានសារៈសំខាន់។ ភាពងាយរងគ្រោះសំខាន់ៗចំនួនពីរត្រូវបានដោះស្រាយនៅក្នុងក្របខ័ណ្ឌពហុព័ត៌មាន និងអនុញ្ញាតឱ្យដំណើរការកូដនៅពេលដំណើរការទិន្នន័យពហុព័ត៌មានដែលបានរចនាជាពិសេស។ ភាពងាយរងគ្រោះចំនួន XNUMX ត្រូវបានជួសជុលនៅក្នុងសមាសធាតុសម្រាប់បន្ទះឈីប Qualcomm ដែលក្នុងនោះភាពងាយរងគ្រោះចំនួនពីរត្រូវបានចាត់ថ្នាក់កម្រិតសំខាន់ ដែលអនុញ្ញាតឱ្យមានការវាយប្រហារពីចម្ងាយ។ បញ្ហាដែលនៅសល់ត្រូវបានសម្គាល់ថាមានគ្រោះថ្នាក់, i.e. អនុញ្ញាតឱ្យ តាមរយៈការរៀបចំកម្មវិធីក្នុងស្រុក ដើម្បីប្រតិបត្តិកូដក្នុងបរិបទនៃដំណើរការដែលមានសិទ្ធិ។

ប្រភព: opennet.ru