ຊ່ອງໂຫວ່ໃນໄດເວີ v4l2 ຜົນກະທົບຕໍ່ແພລະຕະຟອມ Android

ບໍລິສັດ TrendMicro ຈັດພີມມາ ຂໍ້​ມູນ​ກ່ຽວ​ກັບ​ຄວາມ​ສ່ຽງ (CVE ບໍ່​ໄດ້​ຮັບ​ການ​ມອບ​ຫມາຍ​) ໃນ​ຄົນ​ຂັບ​ໄດ້​ v4l2, ເຊິ່ງອະນຸຍາດໃຫ້ຜູ້ໃຊ້ທ້ອງຖິ່ນທີ່ບໍ່ມີສິດທິພິເສດສາມາດປະຕິບັດລະຫັດຂອງພວກເຂົາໃນສະພາບການຂອງ Linux kernel. ຂໍ້ມູນກ່ຽວກັບຊ່ອງໂຫວ່ແມ່ນສະໜອງໃຫ້ໃນບໍລິບົດຂອງແພລດຟອມ Android, ໂດຍບໍ່ລະບຸວ່າບັນຫານີ້ແມ່ນສະເພາະກັບແກ່ນຂອງ Android ຫຼືວ່າມັນຍັງເກີດຂຶ້ນຢູ່ໃນ kernel Linux ປົກກະຕິ.

ເພື່ອຂູດຮີດຊ່ອງໂຫວ່, ຜູ້ໂຈມຕີຕ້ອງການການເຂົ້າເຖິງລະບົບທ້ອງຖິ່ນ. ໃນ Android, ເພື່ອໂຈມຕີ, ທໍາອິດທ່ານຈໍາເປັນຕ້ອງໄດ້ຮັບການຄວບຄຸມຂອງຄໍາຮ້ອງສະຫມັກທີ່ບໍ່ມີສິດທິພິເສດທີ່ມີອໍານາດໃນການເຂົ້າເຖິງລະບົບຍ່ອຍ V4L (ວິດີໂອສໍາລັບ Linux), ຕົວຢ່າງ, ໂຄງການກ້ອງຖ່າຍຮູບ. ການໃຊ້ຊ່ອງໂຫວ່ທີ່ເປັນຈິງທີ່ສຸດໃນ Android ແມ່ນການລວມເອົາການຂູດຮີດໃນແອັບພລິເຄຊັນທີ່ເປັນອັນຕະລາຍທີ່ຜູ້ໂຈມຕີກະກຽມໄວ້ເພື່ອຂະຫຍາຍສິດທິໃນອຸປະກອນ.

ຊ່ອງໂຫວ່ຍັງບໍ່ໄດ້ຮັບການແກ້ໄຂໃນເວລານີ້. ເຖິງແມ່ນວ່າ Google ໄດ້ຮັບການແຈ້ງເຕືອນກ່ຽວກັບບັນຫາໃນເດືອນມີນາ, ການແກ້ໄຂບໍ່ໄດ້ລວມຢູ່ໃນ ອັບເດດເດືອນກັນຍາ ເວທີ Android. ໂປຣແກຣມແກ້ໄຂຄວາມປອດໄພ Android ເດືອນກັນຍາ ແກ້ໄຂ 49 ຊ່ອງໂຫວ່, ໃນນັ້ນ 31 ອັນຖືກຈັດອັນດັບວ່າສຳຄັນ. ສອງຊ່ອງໂຫວ່ທີ່ສໍາຄັນໄດ້ຖືກແກ້ໄຂໃນກອບມັນຕິມີເດຍແລະອະນຸຍາດໃຫ້ປະຕິບັດລະຫັດໃນເວລາທີ່ປະມວນຜົນຂໍ້ມູນມັນຕິມີເດຍທີ່ອອກແບບມາພິເສດ. XNUMX ຊ່ອງໂຫວ່ໄດ້ຖືກແກ້ໄຂໃນອົງປະກອບສໍາລັບຊິບ Qualcomm, ເຊິ່ງສອງຊ່ອງໂຫວ່ໄດ້ຖືກມອບຫມາຍໃນລະດັບທີ່ສໍາຄັນ, ອະນຸຍາດໃຫ້ການໂຈມຕີຈາກໄລຍະໄກ. ບັນຫາທີ່ຍັງເຫຼືອຖືກຫມາຍວ່າເປັນອັນຕະລາຍ, i.e. ອະນຸຍາດໃຫ້, ໂດຍຜ່ານການຫມູນໃຊ້ຂອງຄໍາຮ້ອງສະຫມັກໃນທ້ອງຖິ່ນ, ເພື່ອປະຕິບັດລະຫັດໃນສະພາບການຂອງຂະບວນການສິດທິພິເສດ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru