Samsung Android firmware တွင် ပံ့ပိုးပေးထားသည့် Qmage ရုပ်ပုံပရိုဆက်ဆာတွင် Skia ဂရပ်ဖစ် တင်ဆက်မှုစနစ်တွင် တည်ဆောက်ထားသော၊ မည်သည့်အက်ပ်တွင်မဆို QM နှင့် QG (“.qmg”) ဖော်မတ်များဖြင့် ပုံများကို လုပ်ဆောင်သည့်အခါ ကုဒ်လုပ်ဆောင်မှုကို စုစည်းခွင့်ပြုသည့် (CVE-2020-8899)။ တိုက်ခိုက်မှုတစ်ခုလုပ်ဆောင်ရန်၊ အသုံးပြုသူသည် မည်သည့်လုပ်ဆောင်ချက်မျှ လုပ်ဆောင်ရန်မလိုအပ်ပါ၊ အရိုးရှင်းဆုံးအခြေအနေတွင်၊ အထူးဒီဇိုင်းထုတ်ထားသောပုံပါရှိသော MMS၊ အီးမေးလ် သို့မဟုတ် ချတ်မက်ဆေ့ချ်တစ်ခုသည် သားကောင်အား ပေးပို့ရန် လုံလောက်ပါသည်။
နောက်ထပ် QM၊ QG၊ ASTC နှင့် PIO (PNG မူကွဲ) ရုပ်ပုံဖော်မတ်များကို ကိုင်တွယ်ရန် အပြောင်းအလဲများကို ထည့်သွင်းထားသည့် Android 2014 ကို အခြေခံထားသည့် firmware ဖြင့် စတင်သည့် ပြဿနာသည် 4.4.4 ခုနှစ်ကတည်းက ရှိနေသည်ဟု ယူဆရသည်။ အားနည်းချက် в Samsung ရဲ့ Firmware ကို မေလ 6 ရက်မှာ ထုတ်ပြန်ခဲ့ပါတယ်။ အခြားထုတ်လုပ်သူများထံမှ ပင်မ Android ပလပ်ဖောင်းနှင့် Firmware သည် ပြဿနာကြောင့် ထိခိုက်ခြင်းမရှိပါ။
Google မှ အင်ဂျင်နီယာတစ်ဦးမှ fuzz စမ်းသပ်စဉ်တွင် ပြဿနာကို ဖော်ထုတ်ခဲ့ပြီး၊ အားနည်းချက်သည် ပျက်စီးမှုများတွင် အကန့်အသတ်မရှိကြောင်း သက်သေပြခဲ့ပြီး Samsung ထံ MMS မက်ဆေ့ချ်များ ဆက်တိုက်ပေးပို့ခြင်းဖြင့် ဂဏန်းတွက်စက်ကို စတင်လုပ်ဆောင်သည့် အသုံးချမှုပုံစံ၏ ရှေ့ပြေးပုံစံကို ပြင်ဆင်ခဲ့သည်။ ပလက်ဖောင်း Android 10 အသုံးပြုထားသည့် Galaxy Note 10+ စမတ်ဖုန်း။
ပြထားသည့်နမူနာတွင်၊ အောင်မြင်သောအမြတ်ထုတ်မှုသည် ခန့်မှန်းခြေအားဖြင့် မိနစ် 100 ခန့်ကို တိုက်ခိုက်ပြီး မက်ဆေ့ခ်ျ 120 ကျော် ပေးပို့ရန် လိုအပ်သည်။ exploit တွင် အပိုင်းနှစ်ပိုင်းပါဝင်သည် - ပထမအဆင့်တွင်၊ ASLR ကိုကျော်ဖြတ်ရန်၊ base address ကို libskia.so နှင့် libhwui.so စာကြည့်တိုက်များတွင် ဆုံးဖြတ်ပြီး ဒုတိယအဆင့်တွင်၊ remote access ကို စတင်ခြင်းဖြင့် device ကို "reverse အခွံ"။ မမ်မိုရီအပြင်အဆင်ပေါ်မူတည်၍ အခြေခံလိပ်စာကိုသတ်မှတ်ရာတွင် 75 မှ 450 မက်ဆေ့ခ်ျပေးပို့ရန် လိုအပ်သည်။
ထို့အပြင်၎င်းကိုမှတ်သားနိုင်သည်။ အားနည်းချက် 39 ခုကို ဖယ်ရှားပေးသည့် Android အတွက် လုံခြုံရေး ပြင်ဆင်မှုများ အစုံလုပ်နိုင်ပါသည်။ ပြဿနာ သုံးခုကို စိုးရိမ်ရသော အန္တရာယ်အဆင့် သတ်မှတ်ပေးထားသည် (အသေးစိတ်အချက်အလက်များကို မထုတ်ဖော်ရသေးပါ)။
- CVE-2020-0096 သည် အထူးဒီဇိုင်းထုတ်ထားသော ဖိုင်ကို လုပ်ဆောင်သည့်အခါ ကုဒ်လုပ်ဆောင်မှုကို ခွင့်ပြုသည့် ဒေသဆိုင်ရာ အားနည်းချက်တစ်ခုဖြစ်သည်။
- CVE-2020-0103 သည် အထူးဒီဇိုင်းထုတ်ထားသော ပြင်ပဒေတာကို လုပ်ဆောင်သည့်အခါ ကုဒ်လုပ်ဆောင်မှုကို ခွင့်ပြုသည့် စနစ်ရှိ အဝေးထိန်းအားနည်းချက်တစ်ခုဖြစ်သည်။
- CVE-2020-3641 သည် Qualcomm ၏ မူပိုင်အစိတ်အပိုင်းများတွင် အားနည်းချက်တစ်ခုဖြစ်သည်။
source: opennet.ru