انجام حمله‌ای جدید علیه اندروید با استفاده از آسیب‌پذیری «گاو کثیف»

محققان امنیتی از شرکت ترندمیکرو می‌گویند می‌توان با استفاده از آسیب‌پذیری «گاو کثیف» در هسته‌ی لینوکس یک حمله ترتیب داد و مستقیماً در داخل فرآیندها کد مخرب را نوشت.

این آسیب‌پذیری با شناسه‌ی CVE-۲۰۱۶-۵۱۹۵ توسط فیل اوستر کشف شده است. آسیب‌پذیری گاو کثیف به یک مهاجم محلی و بدون امتیاز اجازه می‌دهد با دستکاری پرونده‌های setuid، امتیازات خود را ارتقاء دهد. نام این آسیب‌پذیری برگرفته از یک شرایط رقابتی در هسته‌ی لینوکس بین عملیاتی است که بر روی حافظه‌ی نگاشت رونویسی-برروی-نوشتن۱ می‌نویسند.

این آسیب‌پذیری که در هسته‌ی لینوکس یافت شده است، اندروید را نیز تحت تأثیر قرار می‌دهد. اخیراً محققان امنیتی کشف کردند که این آسیب‌پذیری به مهاجم اجازه می‌دهد بر روی دستگاه هدف، دسترسی ریشه بدست آورد. گوگل اخیراً برای دستگاه‌های پیکسل و نکسوس برای برطرف کردن این آسیب‌پذیری وصله‌هایی را منتشر کرده است و گفته می‌شود هر دستگاهی که وصله‌های امنیتی ۱۶ آبان را اجرا کرده باشد، از آسیب‌پذیری «گاو کثیف» در امان است.

اکنون محققان امنیتی ترندمیکرو می‌گویند به شیوه‌ای متفاوت با حملات قبلی، می‌توان از آسیب‌پذیری «گاو کثیف» بهره‌برداری کرد و کد مخرب را مستقیماً در داخل فرآیندها نوشت. این شرکت همچنین اشاره کرد که در حال حاضر تمامی نسخه‌های اندروید تحت تأثیر این آسیب‌پذیری هستند و با بهره‌برداری از آن می‌توان بر روی دستگاه قربانی کنترل کامل داشت.

این محققان ویدئویی را منتشر کردند که این حمله را بر روی یک دستگاه اندروید انجام می‌دهند. بر روی این دستگاه آخرین نسخه‌ از وصله‌های اندروید اعمال شده است. در نتیجه‌ی این حمله، در یک اثبات مفهومی، برنامه‎ی مورد نظر بدون درخواست هیچ مجوزی بر روی دستگاه هدف نصب می‌شود.
محققان امنیتی توضیح دادند: «در ابتدای اجرای حمله، از آسیب‌پذیری گاو کثیف برای سرقت اطلاعات و تغییر در تنظیمات دستگاه از جمله بدست آوردن مکان تلفن همراه، فعال‌سازی بلوتوث و نقطه‌ی دسترسی وای‌فای بهره‎برداری می‌شود. در ادامه نیز بی‌سروصدا یک برنامه بر روی دستگاه قربانی نصب می‌شود. این نصب حتی در شرایطی انجام می‌شود که در تنظیمات اجازه‌ی نصب برنامه از منابعی به‌جز گوگل پلی داده نشده است.»

به‌گفته‌ی ترندمیکرو این حمله امکان‌پذیر است به‌دلیل اینکه هسته‌ی لینوکس وقتی اولین بار یک پرونده‌ی اجرایی ELF۲ را اجرا می‌کند، آن را در حافظه نگاشت می‌کند. در ادامه نیز وقتی پرونده را مجدداً باز می‌کند از همین نگاشت دوباره استفاده می‌کند. با استفاده از آسیب‌پذیری گاو کثیف بر روی یک پرونده‌ی ELF در حال اجرا، یک مهاجم می‌تواند تصویر فرآیند در حال اجرا را تغییر دهد.

این آسیب‌پذیری به مهاجم اجازه می‌دهد هر فرآیند در حال اجرا و قابل خواندن را تغییر دهد. حتی اگر فرآیند قابل خواندن نیز نباشد، مهاجمان می‌توانند با دستور cat /proc/{pid}/maps ماژول‌های قابل خواندن ELF که بارگیری شده‌اند را پیدا کنند. بر روی اندروید یک مهاجم می‌تواند به‌طور پویا، فرآیند زمان اجرای اندروید۳ را دستکاری کند. تا زمانی‌که مهاجم بتواند یک برنامه‌ را بر روی دستگاه آسیب‌پذیر اجرا کند، می‌تواند فرآیندهای قابل خواندن را دستکاری کرده و کد خود را تزریق کند. در ادامه نیز از طریق همین کد می‌تواند کنترل فرآیندها را در دست گیرد.

با استفاده از این حمله، مهاجم دیگر به نوشتن/خواندن از پرونده‌ها محدود نیست و می‌تواند مستقیماً کد خود را در حافظه بنویسد. در نتیجه با اجرای یک حمله‌ی موفق بدون درهم شکستن سامانه یا راه‌اندازی مجدد آن، مهاجم می‌تواند دسترسی ریشه را بدست آورد.
در ویدئوی اثبات مفهومی که توسط محققان منتشر شده، آن‌ها به‌طور پویا برای بدست آوردن امتیازات ریشه برای برنامه‌ی خود، libbinder.so را دستکاری می‌کنند. از این طریق آن‌ها می‌توانند مدل امنیتی مجوزها در اندروید را دور زده، اطلاعات را بدزدند و عملکرد دستگاه را کنترل کنند.

محققان امنیتی گفتند: «ما این آسیب‌پذیری را به گوگل اطلاع دادیم. آسیب‌پذیری گاو کثیف به‌طور ابتدایی در به‌روزرسانی‌ آبان ماه وصله شده است ولی تا زمانی که به‌روزرسانی‌های اندروید در آذر ماه منتشر شود، اعمال وصله‌ی آن اجباری نبوده است. کاربران می‌توانند پس از دریافت به‌روزرسانی‌ها از طرف شرکت سازنده‌ی تلفن همراه یا سامانه عامل، وصله شدن این آسیب‌پذیری را بررسی کنند.»

۱. copy-on-write
۲. Executable Linkable Format
۳. Android Runtime

منبع: asis

درباره نماد امنیت وب

“نماد امنیت وب” به عنوان یکی از شرکت های پیشتاز در زمینه امنیت نرم افزار و سرویس های تحت وب، با ارائه سرویس های امنیتی برای تمامی کسب و کار ها و دارای نمایندگی شرکت Acunetix (اکوانتیکس) بعنوان محبوب ترین اسکنر امنیتی black box در دنیا، ایمنی وب سایت شما را در مقابل حمله هکر ها تضمین می کند.

اسکن امنیتی وب سایت
(5000 تومان)

نوع وب سایت: وبلاگ، شرکتی، تجارت الکترونیک و کسب و کارحرفه ای
آسیب پذیری های OWASP (شامل بررسی 10 آسیب پذیری متداول)
اسکن نرم افزار/وب سایت توسط Acunetix نسخه 11
اسکن تمامی پورت ها با ابزار Nmap
اسکن وب سرور و پیکربندی آن توسط ابزار Nikto
اسکن تزریق توسط نرم افزار قدرتمند SQLmap