هشدار گوگل به کاربران اندرويدی در خصوص آسيب‌‌پذيری جديد فايل تصوير PNG

دوشنبه ۲۹ بهمن ۱۳۹۷
گوگل به تازگی در به‌روزرسانی امنیتی ماه فوریه‌ی خود به کاربران اندروید از یک نقص تصویر .PNG هشدار داده است که می‌تواند به مهاجم اجازه دهد کد مخرب را در دستگاه قربانی اجرا کند.
مرکز آپا شریف
SUT-APA-LOGO

اشتراک‌گذاری عکس مناظر، تصاویر حیوانات بامزه یا رفتارهای خنده‌دار در میان کاربران گوشی‌های هوشمند امری بسیار معمول است. به همین دلیل تصاویر یکی از قوی‌ترین راه‌ها برای گسترش بدافزار برای مهاجمان هستند. گوگل به تازگی در به‌روزرسانی امنیتی ماه فوریه‌ی خود به کاربران اندروید از یک نقص تصویر .PNG هشدار داده است که می‌تواند به مهاجم اجازه دهد کد مخرب را در دستگاه قربانی اجرا کند.
برای راه‌اندازی این نقص تنها لازم است مهاجم یک فایل PNG یا گرافیک شبکه‌‌ای همراه (Portable Network Graphic) ساختگی را به کاربر ارسال کند. تصویر مخرب می‌تواند از طریق سرویس پیام‌رسان تلفن همراه یا یک برنامه‌ی کاربردی رایانامه، ارسال شود. اگر کاربر این فایل را باز کند، سوءاستفاده راه‌‌اندازی می‌شود. پس از آن مهاجمان قادر به اجرای کد دلخواه در متن فرایند‌های ممتاز هستند. این آسیب‌پذیری نسخه‌های 7.0 و 9.0 اندروید را تحت‌تأثیر قرار می‌دهد.
این آسیب‌پذیری جدید یکی از سه اشکالی است که چارچوب اندروید را تحت‌تأثیر قرار می‌دهند. این سه آسیب‌پذیری با شناسه‌های CVE-2019-1986، CVE-2019-1987، CVE-2019-1988 ردیابی می‌شوند. این نقص‌ها، شدیدترین اشکلات در به‌روزرسانی ماه فوریه‌ی گوگل هستند.
گوگل در به روزرسانی ماه فوریه‌ی خود 42 آسیب‌پذیری را برطرف ساخته است که 11 مورد از آن‌ها «بحرانی» و 30 مورد «شدت بالا» رتبه‌بندی شده‌اند.
دلیل بحرانی‌بودن آسیب‌پذیری فایل تصویر PNG این است که مرورگر وب کاربر می‌تواند یک تصویر ساختگی را از یک وب‌سایت دریافت کند و در نتیجه مرورگر وب و محیط اطراف آن تحت کنترل مهاجم در آید، بدین معنی که مهاجم می‌تواند به تمامی گذرواژه‌های ذخیره‌شده دسترسی پیدا کند. برای سرویس‌گیرنده‌ی رایانامه نیز وضع به همین منوال است. از آنجاییکه کنترل mailbox در دست مهاجم است می‌توانند رایانامه‌ی کاربر را به دست گیرند، بازنشانی رمزعبور را به‌دست آوردند.
تصور نمی‌شود که آسیب‌پذیری فایل تصویر PNG تاکنون مورد سوءاستفاده قرار گرفته باشد. با این حال، از آنجاییکه این آسیب‌پذیری به‌راحتی می‌تواند به کار گرفته شود، به کاربران توصیه می‌شود تمامی به‌روزرسانی‌های جدید اندروید را دریافت کنند و همچنین توصیه می‌شود کاربران جهت احتیاط بیشتر تمامی گذرواژه‌ها را از مرورگرهای تلفن‌همراهشان پاک کنند.