محققان امنیتی از شرکت ترندمیکرو می‌گویند می‌توان با استفاده از آسیب‌پذیری «گاو کثیف» در هسته‌ی لینوکس یک حمله ترتیب داد و مستقیماً در داخل فرآیندها کد مخرب را نوشت.
این آسیب‌پذیری با شناسه‌ی CVE-۲۰۱۶-۵۱۹۵ توسط فیل اوستر کشف شده است. آسیب‌پذیری گاو کثیف به یک مهاجم محلی و بدون امتیاز اجازه می‌دهد با دستکاری پرونده‌های setuid، امتیازات خود را ارتقاء دهد. نام این آسیب‌پذیری برگرفته از یک شرایط رقابتی در هسته‌ی لینوکس بین عملیاتی است که بر روی حافظه‌ی نگاشت رونویسی-برروی-نوشتن۱ می‌نویسند.
این آسیب‌پذیری که در هسته‌ی لینوکس یافت شده است، اندروید را نیز تحت تأثیر قرار می‌دهد. اخیراً محققان امنیتی کشف کردند که این آسیب‌پذیری به مهاجم اجازه می‌دهد بر روی دستگاه هدف، دسترسی ریشه بدست آورد. گوگل اخیراً برای دستگاه‌های پیکسل و نکسوس برای برطرف کردن این آسیب‌پذیری وصله‌هایی را منتشر کرده است و گفته می‌شود هر دستگاهی که وصله‌های امنیتی ۱۶ آبان را اجرا کرده باشد، از آسیب‌پذیری «گاو کثیف» در امان است.
اکنون محققان امنیتی ترندمیکرو می‌گویند به شیوه‌ای متفاوت با حملات قبلی، می‌توان از آسیب‌پذیری «گاو کثیف» بهره‌برداری کرد و کد مخرب را مستقیماً در داخل فرآیندها نوشت. این شرکت همچنین اشاره کرد که در حال حاضر تمامی نسخه‌های اندروید تحت تأثیر این آسیب‌پذیری هستند و با بهره‌برداری از آن می‌توان بر روی دستگاه قربانی کنترل کامل داشت.
این محققان ویدئویی را منتشر کردند که این حمله را بر روی یک دستگاه اندروید انجام می‌دهند. بر روی این دستگاه آخرین نسخه از وصله‌های اندروید اعمال شده است. در نتیجه‌ی این حمله، در یک اثبات مفهومی، برنامه‌ی مورد نظر بدون درخواست هیچ مجوزی بر روی دستگاه هدف نصب می‌شود.
محققان امنیتی توضیح دادند: «در ابتدای اجرای حمله، از آسیب‌پذیری گاو کثیف برای سرقت اطلاعات و تغییر در تنظیمات دستگاه از جمله بدست آوردن مکان تلفن همراه، فعال‌سازی بلوتوث و نقطه‌ی دسترسی وای‌فای بهره‌برداری می‌شود. در ادامه نیز بی‌سروصدا یک برنامه بر روی دستگاه قربانی نصب می‌شود. این نصب حتی در شرایطی انجام می‌شود که در تنظیمات اجازه‌ی نصب برنامه از منابعی به‌جز گوگل پلی داده نشده است.»
به‌گفته‌ی ترندمیکرو این حمله امکان‌پذیر است به‌دلیل اینکه هسته‌ی لینوکس وقتی اولین بار یک پرونده‌ی اجرایی ELF۲ را اجرا می‌کند، آن را در حافظه نگاشت می‌کند. در ادامه نیز وقتی پرونده را مجدداً باز می‌کند از همین نگاشت دوباره استفاده می‌کند. با استفاده از آسیب‌پذیری گاو کثیف بر روی یک پرونده‌ی ELF در حال اجرا، یک مهاجم می‌تواند تصویر فرآیند در حال اجرا را تغییر دهد.
این آسیب‌پذیری به مهاجم اجازه می‌دهد هر فرآیند در حال اجرا و قابل خواندن را تغییر دهد. حتی اگر فرآیند قابل خواندن نیز نباشد، مهاجمان می‌توانند با دستور cat /proc/{pid}/maps ماژول‌های قابل خواندن ELF که بارگیری شده‌اند را پیدا کنند. بر روی اندروید یک مهاجم می‌تواند به‌طور پویا، فرآیند زمان اجرای اندروید۳ را دستکاری کند. تا زمانی‌که مهاجم بتواند یک برنامه را بر روی دستگاه آسیب‌پذیر اجرا کند، می‌تواند فرآیندهای قابل خواندن را دستکاری کرده و کد خود را تزریق کند. در ادامه نیز از طریق همین کد می‌تواند کنترل فرآیندها را در دست گیرد.
با استفاده از این حمله، مهاجم دیگر به نوشتن/خواندن از پرونده‌ها محدود نیست و می‌تواند مستقیماً کد خود را در حافظه بنویسد. در نتیجه با اجرای یک حمله‌ی موفق بدون درهم شکستن سامانه یا راه‌اندازی مجدد آن، مهاجم می‌تواند دسترسی ریشه را بدست آورد.
در ویدئوی اثبات مفهومی که توسط محققان منتشر شده، آن‌ها به‌طور پویا برای بدست آوردن امتیازات ریشه برای برنامه‌ی خود، libbinder.so را دستکاری می‌کنند. از این طریق آن‌ها می‌توانند مدل امنیتی مجوزها در اندروید را دور زده، اطلاعات را بدزدند و عملکرد دستگاه را کنترل کنند.
محققان امنیتی گفتند: «ما این آسیب‌پذیری را به گوگل اطلاع دادیم. آسیب‌پذیری گاو کثیف به‌طور ابتدایی در به‌روزرسانی آبان ماه وصله شده است ولی تا زمانی که به‌روزرسانی‌های اندروید در آذر ماه منتشر شود، اعمال وصله‌ی آن اجباری نبوده است. کاربران می‌توانند پس از دریافت به‌روزرسانی‌ها از طرف شرکت سازنده‌ی تلفن همراه یا سامانه عامل، وصله شدن این آسیب‌پذیری را بررسی کنند.»
۱. copy-on-write
۲. Executable Linkable Format
۳. Android Runtime
منبع: asis
درباره نماد امنیت وب
“نماد امنیت وب” به عنوان یکی از شرکت های پیشتاز در زمینه امنیت نرم افزار و سرویس های تحت وب، با ارائه سرویس های امنیتی برای تمامی کسب و کار ها و دارای نمایندگی شرکت Acunetix (اکوانتیکس) بعنوان محبوب ترین اسکنر امنیتی black box در دنیا، ایمنی وب سایت شما را در مقابل حمله هکر ها تضمین می کند.