एन्ड्रोइड प्लेटफर्मलाई असर गर्ने चालक v4l2 मा जोखिम

ट्रेन्डमाइक्रो कम्पनी प्रकाशित चालकमा जोखिम (CVE तोकिएको छैन) बारे जानकारी v4l2, जसले एक विशेषाधिकार नभएको स्थानीय प्रयोगकर्तालाई लिनक्स कर्नेलको सन्दर्भमा आफ्नो कोड कार्यान्वयन गर्न अनुमति दिन्छ। जोखिमको बारेमा जानकारी एन्ड्रोइड प्लेटफर्मको सन्दर्भमा प्रदान गरिएको छ, यो समस्या एन्ड्रोइड कर्नेलमा विशिष्ट छ वा छैन वा यो नियमित लिनक्स कर्नेलमा पनि हुन्छ भन्ने विवरण नगरी।

जोखिमको शोषण गर्न, आक्रमणकारीलाई प्रणालीमा स्थानीय पहुँच चाहिन्छ। एन्ड्रोइडमा, आक्रमण गर्न, तपाईंले पहिले एक विशेषाधिकाररहित अनुप्रयोगको नियन्त्रण प्राप्त गर्न आवश्यक छ जसमा V4L (लिनक्सका लागि भिडियो) उपप्रणाली पहुँच गर्ने अधिकार छ, उदाहरणका लागि, क्यामेरा कार्यक्रम। एन्ड्रोइडमा भेद्यताको सबैभन्दा यथार्थपरक प्रयोग भनेको यन्त्रमा विशेषाधिकारहरू बढाउन आक्रमणकारीहरूले तयार पारेका दुर्भावनापूर्ण अनुप्रयोगहरूमा शोषण समावेश गर्नु हो।

कमजोरी यस समयमा अनप्याच रहन्छ। यद्यपि गुगललाई मार्चमा मुद्दाको बारेमा सूचित गरिएको थियो, समाधानमा समावेश गरिएको थिएन सेप्टेम्बर अपडेट एन्ड्रोइड प्लेटफर्महरू। सेप्टेम्बर एन्ड्रोइड सुरक्षा प्याचले 49 कमजोरीहरू फिक्स गर्दछ, जसमध्ये चारलाई महत्त्वपूर्ण रूपमा मूल्याङ्कन गरिएको छ। मल्टिमिडिया ढाँचामा दुई महत्वपूर्ण कमजोरीहरूलाई सम्बोधन गरिएको छ र विशेष रूपमा डिजाइन गरिएको मल्टिमिडिया डाटा प्रशोधन गर्दा कोड कार्यान्वयन गर्न अनुमति दिन्छ। Qualcomm चिप्सका लागि कम्पोनेन्टहरूमा 31 कमजोरीहरू फिक्स गरिएको छ, जसमध्ये दुईवटा कमजोरीहरूलाई महत्त्वपूर्ण स्तर तोकिएको छ, जसले टाढाको आक्रमणको लागि अनुमति दिन्छ। बाँकी समस्याहरू खतरनाक रूपमा चिन्ह लगाइएका छन्, अर्थात्। स्थानीय अनुप्रयोगहरूको हेरफेर मार्फत, विशेषाधिकार प्राप्त प्रक्रियाको सन्दर्भमा कोड कार्यान्वयन गर्न अनुमति दिनुहोस्।

स्रोत: opennet.ru