Προσοχή! Πρέπει να είστε πιο προσεκτικοί κατά το άνοιγμα ενός αρχείου εικόνας στο smartphone σας, που έχετε λάβει από το Internet ή μέσω μηνυμάτων ή εφαρμογών ηλεκτρονικού ταχυδρομείου.
Ναι, είναι δυνατόν βλέποντας απλώς μια εικόνα, το Android smartphone σας να εκτελέσει κακόβουλο κώδικα που κρύβεται μέσα στο αρχείο της εικόνας, χάρη σε τρία πρόσφατα εντοπισμένα κρίσιμα σημεία ευπάθειας που επηρεάζουν εκατομμύρια συσκευές που τρέχουν ακόμη και τις ποιο πρόσφατες εκδόσεις του λειτουργικού συστήματος της Google, από το Android 7.0 Nougat, μέχρι την τρέχουσα Android 9.0 Pie.
Τα τρωτά σημεία, τα οποία που προσδιορίζονται ως CVE-2019-1986, CVE-2019-1987, και CVE-2019-1988, έχουν επιδιορθωθεί στπ Android Open Source (AOSP) από την Google, ως μέρος της ενημέρωσης ασφαλείας του Android.
Ωστόσο, επειδή κάθε κατασκευαστής φορητών συσκευών δεν διανέμει τις ενημερώσεις ασφαλείας κάθε μήνα, είναι δύσκολο να προσδιορίσετε αν η συσκευή σας Android θα αποκτήσει αυτές τις ενημερώσεις ασφαλείας σύντομα, πριν πέσετε θύμα αυτής της ευπάθειας.
Αν και οι μηχανικοί της Google δεν έχουν αποκαλύψει ακόμα τεχνικές λεπτομέρειες που να εξηγούν αυτές τις ευπάθειες, οι ενημερώσεις στο Changelog τις αναφέρουν ως την αποκατάσταση του “buffer overflow”, “σφάλματα στο SkPngCodec” και σφάλματα που έχουν να κάνουν με τις εικόνες PNG.
Σύμφωνα με τις εξηγήσεις που έδωσε η Google, ένα από τα τρία σημεία ευπάθειας, το οποίο η Google θεωρούσε το πιο σοβαρό, θα μπορούσε να επιτρέψει σε ένα κακόβουλο αρχείο εικόνας Portable Network Graphics (.PNG) να εκτελέσει κακόβουλο κώδικα στις ευάλωτες συσκευές με Android.Όπως λέει η Google, “το πιο σοβαρό από αυτά τα ζητήματα αποτελεί κρίσιμη ευπάθεια ασφαλείας, η οποία θα μπορούσε να επιτρέψει σε έναν απομακρυσμένο εισβολέα να χρησιμοποιήσει ένα ειδικά επεξεργασμένο αρχείο PNG για να εκτελέσει κακόβουλο κώδικα ως διαχειριστής του συστήματος”.
Ένας απομακρυσμένος εισβολέας μπορεί να εκμεταλλευτεί αυτό την ευπάθεια, απλώς προτρέποντας με διάφορους τρόπους τους χρήστες, να ανοίξουν ένα αρχείο εικόνας PNG (το οποίο είναι αδύνατο να εντοπιστεί με γυμνό μάτι) στις συσκευές τους , που έχουν λάβει μέσω της υπηρεσίας μηνυμάτων ή μέσω κάποιας εφαρμογής ηλεκτρονικού ταχυδρομείου.
Συμπεριλαμβανομένων αυτών των τριών ατελειών, η Google έχει επιδιορθώσει συνολικά 42 ευπάθειες ασφαλείας στο λειτουργικό της σύστημα του Android, τα 11 από τα οποία είναι κρίσιμα κρίσιμα, 30 υψηλού κινδύνου και ένα με μέτριο κίνδυνο.
Η Google τόνισε ότι δεν έχει αναφορές για ενεργή εκμετάλλευση ή για κάποια σοβαρή κατάχρηση οποιουδήποτε από τα τρωτά σημεία που αναφέρονται στο δελτίο ασφαλείας του Φεβρουαρίου.
Η Google δήλωσε επίσης πως έχει ενημερώσει τους συνεργάτες της σχετικά σχετικά με όλα τα τρωτά σημεία ένα μήνα πριν από τη δημοσίευση, προσθέτοντας ότι “οι κώδικες πηγαίου κώδικα για αυτά τα θέματα θα κυκλοφορήσουν στο χώρο αποθήκευσης του προγράμματος AOSP (Android Open Source Project) τις επόμενες 48 ώρες”.
[the_ad_group id=”966″]
