گوگل در بولتن امنیتی اندروید ۷۴ آسیب‌پذیری را وصله می‌کند

گوگل این هفته وصله‌ی ماهانه مربوط به ماه دسامبر را برای بستر اندروید منتشر کرد. در این به‌روزرسانی در حالت کلی ۷۴ آسیب‌پذیری وصله شده است. از این آسیب‌پذیری‌ها ۱۱مورد بسیار جدی و مهم بوده‌اند.

بولتن امنیتی اندروید برای ماه دسامبر به دو بخش تقسیم می‌شود. یکی از این بخش‌ها در تاریخ ۱۱ آذر منتشر شده و ۱۶ آسیب‌پذیری (۱۰ آسیب‌پذیری باشدت بالا و ۶ آسیب‌پذیری با درجه‌ی متوسط) در این سطح وصله شده است. بخش دیگری از بولتن در تاریخ ۱۵ آذر منتشر شده که ۵۸ آسیب‌پذیری را برطرف می‌کند. (۱۱ آسیب‌پذیری جدی، ۳۳ آسیب‌پذیری باشدت بالا و ۱۴ آسیب‌پذیری با درجه‌ی متوسط)

۱۶ وصله‌ای که در به‌روزرسانی ۱۱ آذر منتشر شده، نسخه‌ی ۴.۴.۴ اندروید و نسخه‌های جدید را تحت تأثیر قرار می‌دهد. اندروید ۷.۰ نیز بستری بوده که بیشتر از همه تحت تأثیر قرار گرفته است. در مشاوره‌نامه‌ی گوگل ذکر شده که فقط ۲ مورد از آسیب‌پذیری‌ها در نسخه‌ی ۷.۰ وجود نداشت ولی در عین حال ۴ آسیب‌پذیری منحصراً مربوط به این بستر بوده است.

آسیب‌پذیری‌های باشدت بالا در به‌روزرسانی ۱۱ آذر
همان‌طور که گفتیم در به‌روزرسانی ۱۱ آذر، ۱۰ آسیب‌پذیری باشدت بالا وصله شده‌اند که عبارتند از:
• ۳ آسیب‌پذیری اجرای کد از راه دور در CURL/LIBCURL که اندروید ۷.۰ را تحت تأثیر قرار می‌دهد.
• ۱ آسیب‌پذیری ارتقاء امتیاز در libziparchive
• ۱ آسیب‌پذیری اجرای کد در کتابخانه‌ی Framesequence که نسخه‌ی ۵.۰.۲ و تمامی نسخه‌های جدید اندروید را تحت تأثیر قرار می‌دهد.
• ۱ آسیب‌پذیر منع سرویس در Telephony
• ۴ آسیب‌پذیری منع سرویس در Mediaserver که نسخه‌های ۴.۴.۴ و جدید اندروید را تحت تأثیر قرار می‌دهد.

آسیب‌پذیری‌های با درجه‌ی متوسط در به‌روزرسانی ۱۱ آذر
در به‌روزرسانی ۱۱ آذر، ۶ مورد آسیب‌پذیری با درجه‌ی متوسط نیز وصله شده که عبارتند از:
• آسیب‌پذیری ارتقاء امتیاز در قفل هوشمند، Framework API، Telephony و وای‌فای
• آسیب‌پذیری افشای اطلاعات در Mediaserver و مدیر بسته‌ها
این آسیب‌پذیری‌ها در نسخه‌ی ۴.۴.۴ و نسخه‌های جدیدتر سامانه عامل اندروید وجود دارد.

آسیب‌پذیری‌های جدی در به‌روزرسانی ۱۵ آذر
دسته‌ی مهمی از وصله‌های جدی در به‌روزرسانی ۱۵ آذر وجود دارد و یکی از مهم‌ترین آسیب‌پذیری‌های وصله‌شده با شناسه‌ی CVE-۲۰۱۶-۵۱۹۵ و نام «گاو کثیف» است. این آسیب‌پذیری ارتقاء امتیاز در هسته‌ی لینوکس کشف شد اما زیرسامانه‌ی حافظه در هسته‌ی اندروید نیز تحت تأثیر قرار می‌گرفت. بهره‌برداری از این آسیب‌پذیری نیز به‌طور عمومی منتشر شده است.

در دور قبلی وصله‌های اندروید، گوگل به‌طور اختصاصی به این آسیب‌پذیری پرداخته بود و گفته می‌شد تمامی دستگاه‌هایی که وصله‌های ۱۶ آبان را اعمال کرده باشند تحت تأثیر این آسیب‌پذیری نیستند. با این وجود این شرکت تصمیم گرفته بود در به‌روزرسانی‌های این ماه، این آسیب‌پذیری را تنها در دستگاه‌های نکسوس و پیکسل وصله کند.

در به‌روزرسانی‌های ۱۵ آذر، یکی دیگر از آسیب‌پذیری‌های جدی و مهم ارتقاء امتیاز در زیرسامانه‌ی حافظه در هسته با شناسه‌ی CVE-۲۰۱۶-۴۷۹۴ وصله شده است.
یکی دیگر از آسیب‌پذیری‌های ارتقاء امتیاز جدی در راه‌انداز GPU انویدیا، هسته، راه‌انداز ویدئو انویدیا، راه‌انداز ION هسته و واسط MSM کوالکام وجود داشت که این ماه وصله شد.

آسیب‌پذیری‌های باشدت بالا در به‌روزرسانی ۱۵ آذر
بیشتر آسیب‌پذیری‌های باشدت بالا در وصله‌های این ماه مربوط به آسیب‌پذیری ارتقاء امتیاز در مؤلفه‌های مختلفی همچون سامانه‌های پرونده‌ی هسته، هسته، کدک رسانه‌ی کوالکام، راه‌انداز دوربین کوالکام، زیرسامانه‌ی کارایی هسته، راه‌انداز صوتی کوالکام و زیرسامانه‌ی امنیتی هسته بوده است.

دسته‌ی دیگر آسیب‌پذیری‌های باشدت بالا، آسیب‌پذیری افشای اطلاعات در راه‌انداز ویدئو MediaTek و راه‌انداز ویدئو انویدیا و آسیب‌پذیری منع سرویس در GPS و راه‌انداز دوربین انویدیا است.

آسیب‌پذیری‌های با درجه‌ی متوسط در به‌روزرسانی ۱۵ آذر
در این به‌روزرسانی ۱۴ آسیب‌پذیری با درجه‌ی متوسط وصله شده که عبارتند از:
• ۱ آسیب‌پذیری ارتقاء امتیاز در زیرسامانه‌ی شبکه‌ی هسته
• ۱۳ آسیب‌پذیری افشای اطلاعات در مؤلفه‌های مختلفی همچون کوالکام، کتابخانه‌ی librm انویدیا، مؤلفه‌های هسته، راه‌انداز ویدئو انویدیا و راه صوت کوالکام.

منبع: asis

درباره نماد امنیت وب

“نماد امنیت وب” به عنوان یکی از شرکت های پیشتاز در زمینه امنیت نرم افزار و سرویس های تحت وب، با ارائه سرویس های امنیتی برای تمامی کسب و کار ها و دارای نمایندگی شرکت Acunetix (اکوانتیکس) بعنوان محبوب ترین اسکنر امنیتی black box در دنیا، ایمنی وب سایت شما را در مقابل حمله هکر ها تضمین می کند.