ٹرینڈ مائیکرو کمپنی ڈرائیور میں کمزوری (CVE تفویض نہیں) کے بارے میں معلومات ، جو ایک غیر مراعات یافتہ مقامی صارف کو لینکس کرنل کے تناظر میں اپنے کوڈ پر عمل کرنے کی اجازت دیتا ہے۔ کمزوری کے بارے میں معلومات اینڈرائیڈ پلیٹ فارم کے تناظر میں فراہم کی جاتی ہیں، اس کی تفصیل کے بغیر کہ آیا یہ مسئلہ اینڈرائیڈ کرنل کے لیے مخصوص ہے یا یہ باقاعدہ لینکس کرنل میں بھی ہوتا ہے۔
کمزوری سے فائدہ اٹھانے کے لیے، حملہ آور کو سسٹم تک مقامی رسائی کی ضرورت ہوتی ہے۔ اینڈرائیڈ میں، حملہ کرنے کے لیے، آپ کو سب سے پہلے ایک غیر مراعات یافتہ ایپلیکیشن کا کنٹرول حاصل کرنے کی ضرورت ہے جو V4L (ویڈیو فار لینکس) سب سسٹم تک رسائی کا اختیار رکھتی ہے، مثال کے طور پر، ایک کیمرہ پروگرام۔ Android میں خطرے کا سب سے زیادہ حقیقت پسندانہ استعمال یہ ہے کہ حملہ آوروں کی طرف سے آلہ پر مراعات کو بڑھانے کے لیے تیار کردہ بدنیتی پر مبنی ایپلیکیشنز کا استحصال شامل کیا جائے۔
اس وقت کمزوری غیر واضح ہے۔ اگرچہ گوگل کو مارچ میں اس مسئلے کے بارے میں مطلع کیا گیا تھا، اس میں کوئی فکس شامل نہیں کیا گیا تھا۔ اینڈرائیڈ پلیٹ فارمز۔ ستمبر کے اینڈرائیڈ سیکیورٹی پیچ نے 49 کمزوریوں کو ٹھیک کیا ہے، جن میں سے چار کو اہم قرار دیا گیا ہے۔ ملٹی میڈیا فریم ورک میں دو اہم کمزوریوں کو دور کیا گیا ہے اور خاص طور پر ڈیزائن کردہ ملٹی میڈیا ڈیٹا پر کارروائی کرتے وقت کوڈ پر عمل درآمد کی اجازت دیتے ہیں۔ Qualcomm چپس کے اجزاء میں 31 کمزوریاں طے کی گئی ہیں، جن میں سے دو خطرات کو ایک اہم سطح پر تفویض کیا گیا ہے، جو ریموٹ حملے کی اجازت دیتا ہے۔ باقی مسائل کو خطرناک کے طور پر نشان زد کیا گیا ہے، یعنی مقامی ایپلی کیشنز میں ہیرا پھیری کے ذریعے، مراعات یافتہ عمل کے تناظر میں کوڈ پر عمل کرنے کی اجازت دیں۔
ماخذ: opennet.ru