Project Zero Android’in Güvensiz Olduğunu Söylüyor
Google’ın Android işletim sistemini güvenli hale getirmede başarısız olduğunu Project Zero açıkladı. İşte konuyla ilgili detaylar.
Google’ın Project Zero ekibi tarafından bir güvenlik açığı keşfedildi. Google dahil hiçbir şirket henüz bir güvenlik yaması yayınlamadı. Sorunlar Temmuz ve Ağustos aylarında ARM tarafından zaten çözülmüştü. Project Zero’dan Ian Beer, bir blog gönderisinde güvenlik açıklarından birinin sonunda çekirdek bellek bozulmasına yol açtığını açıkladı. Bunlardan biri fiziksel bellek adresinin kullanıcı alanına gösterilmesine neden oldu.
Ian Beer, bir korsanların Android’in izin mimarisini atlatarak ve bir kullanıcının verilerine geniş erişim elde ederek bir makineye tam erişim elde edebileceğini belirtti. Saldırgan, çekirdeği önceden ayarlanmış sayfa tablolarıyla aynı fiziksel sayfaları kullanmaya zorlayarak bunu yapabilir.
Pixel 6’yı hedefleyen ve önemli sayıda başka Android cihaz tarafından kullanılan ARM Mali GPU sürücüsündeki bir güvenlik açığı olan CVE-2021-39793’ü kullanan vahşi bir istismarı vurguladı.
Bu hatalardan biri (2334) çekirdek belleği bozulmasına neden oldu, biri (2331) fiziksel bellek konumlarını kullanıcı alanına sızdırdı ve diğer üçü (2325, 2327, 2333) fiziksel sayfa kullanımı-after-free’ye neden oldu. ARM’nin hataları düzeltmesinden üç ay sonra, Project Zero’nun test cihazları hala savunmasızdı.
Google, OPPO, Samsung ve Xiaomi ile iletişime geçtiklerini belirtiyor. Bazı Samsung akıllı telefonlarının cihazlarındaki Snapdragon SoC’ler nedeniyle etkilenmediği iddia ediliyor. Google, Arm tarafından sağlanan düzeltmenin şu anda Android ve Pixel cihazlar için test edildiğini ve önümüzdeki haftalarda teslim edileceğini söylüyor. Android OEM iş ortaklarının gelecekteki SPL gerekliliklerine uymak için yamayı almaları gerekeceğini de sözlerine ekledi.
Sonuç olarak, Project Zero, tedarikçilere ve şirketlere bir güvenlik açığı güncellemesi yayınlandıktan sonra mümkün olduğunca erken yama yapmalarını tavsiye ediyor.
