bug ໂຕໃໝ່ຂອງແອນດຣອຍ ອາດຈະເພີ່ມຄວາມສ່ຽງໃຫ້ແກ່ portable device ປະມານພັນລ້ານເຄື່ອງ

Posted on April 1, 2014. Filed under: ຄວາມຮູ້ເລື່ອງ IT, ສະມາດ ໂຟນ, ອິນເຕີເນ໋ດ |


f539

ໂດຍລວມແລ້ວ ລະບົບປະຕິບັດການ ເທິງໂທລະສັບມືຖືກໍ່ເບີ່ງຈະປອດໄພດີ ແຕ່ bug ໂຕໃໝ່ທີ່ຫາກໍ່ພົບເທິງລະບົບປະຕິບັດການ ຂອງ Google mobile ສະແດງໃຫ້ເຫັນວ່າ ອຸປະກອນເຄື່ອນທີ່ ທີ່ໃຊ້ງານລະບົບປະຕິບັດການ ແອນດຣອຍປະມານພັນລ້ານເຄື່ອງກຳລັງຕົກຢູ່ໃນຄວາມສ່ຽງf540

ຈາກງານວິໄຈທີ່ຕີພິມໂດຍນັກວິໄຈຈາກມະຫາວິທະຍາໄລອິນເດຍນ່າ ປະເທດສະຫະລັດອາເມລິກາ ແລະ ນັກວິໄຈຈາກໄມໂຄຣຊອຟ ອະທິບາຍວ່າ ໄພອັນຕະລາຍໃໝ່ ຂອງລະບົບແອນດຣອຍນັ້ນເອີ້ນກັນວ່າ Pileup flaws ຫຼື ມີຊື່ເຕັມໆວ່າ privilege escalation through updating ເຊິ່ງຄວາມສ່ຽງຂອງbug ໂຕນີ້ຄື ເມື່ອເຮົາ update ລະບົບແອນດຣອຍແລ້ວ ມັນຍົກລະດັບສິດທິການເຂົ້າລະບົບ ແລະ resource ຕ່າງໆຂອງເຄື່ອງໃຫ້ສູງເທົ່າກັບສິດທິຂອງຜູ້ດູແລລະບົບ (administrator) ໃຫ້ແກ່ແອພພລິເຄຊັ່ນທີ່ມີການສ່ຽງໄພໂດຍທີ່ບໍ່ແຈ້ງຜູ້ໃຊ້ເລີຍ

ຄຳວ່າ Privilege Escalating ນັ້ນໝາຍເຖິງ ການຍົກລະດັບໃຫ້ເທົ່າທຽມຜູ້ດູແລລະບົບ ໂດຍ Privilege escalation ເປັນການໃຊ້ປະໂຫຍດ ຈາກຊ່ອງຫວ່າງຕ່າງໆ ຂອງແອພພລິເຄຊັ່ນ ເພື່ອໃຫ້ໄດ້ຮັບສິດທິໃນການເຂົ້າເຖິງຊັບພະຍາກອນຕ່າງໆ ເຊິງໂດບປົກກະຕິແລ້ວບໍ່ອະນຸຍາດໃຫ້ແອພພລິເຄຊັ່ນ ຫຼື ຜູ້ໃຊ້ງານເຂົ້າເຖິງໄດ້ ເຊິ່ງມັກເກີດຈາກຂັ້ນຕອນ Gain access ນັ້ນບໍ່ໄດ້ເປັນຜູ້ດູແລລະບົບ (Administrator) ຜູ້ບຸກລຸກມັກຈະພະຍາຍາມເພື່ອຍົກຖານະ ແລະ ສິດທິໃນການຄວບຄຸມລະບົບ ໂດຍອາດຈະເຮັດໃຫ້ການດຶງລະຫັດຜ່ານຈາກພາຍໃນເຄື່ອງ ແລ້ວມາລົງໃນ Server (Network) ແລ້ວມັກຈະມີການໃຊ້ເທັກນິກ Pharming (Hosts file, APR-DNS ການດັກຟັງຂໍ້ມູນໃນອິນເຕີເນັດ),  Buffer overflow ເປັນຕົ້ນ

ທີມນັກວິໄຈໄດ້ກ່າວກ່ຽວກັບເລື້ອງນີ້ເອົາໄວ້ດັ່ງນີ້

” ລະບົບຈະເປີດໃຫ້ update ທຸກໆ  2 – 3 ເດືອນ ເຊິ່ງເຮັດໃຫ້ມີການແທນທີ່ຂອງfile ໃໝ່ໆປະມານພັນ  file ໃນລະບົບໃຊ້ງານຈິງ  (live system) ເຊິ່ງແອພພລິເຄຊັ່ນທີ່install ໃໝ່ນັ້ນຕ້ອງໃຊ້ຄວາມລະມັກລະວັງໃນການຕັ້ງຄ່າຕ່າງໆເພື່ອ  set ຄ່ານັ້ນ ຄ່ານີ້ ລວມໄປເຖິງການset ລະດັບສິທິການເຂົ້າເຖິງລະບົບນຳ (configuration to set the attributes and the privileges in the system)ບໍ່ດັ່ງນັ້ນ ຈະເຮັດໃຫ້ຕະກະຂອງໂປຣແກຣມທີ່ຈະ  install ມີຄວາມຊັບຊ້ອນເຊັ່ນ ການupdate ໂປຣແກຣມເທິງ  mobile device  ເປັນຜົນໃຫ້ມັນໄວຕໍ່ຄວາມສ່ຽງ ທີ່ຈະເກີດຂໍ້ເສຍຂອງລະບົບໄດ້

ເຖິງວ່າແອພພລິເຄຊັ່ນ ຈະເຮັດວຽກໃນ version ຂອງແອນດຣອຍໂຕທີ່ເກົ່າກວ່າ  bug ໂຕນີ້ ກໍ່ສາມາດເອີ້ນຄ່າທີ່  setting ຂອງລະດັບສິດທິ ການເຂົ້າເຖິງລະບົບ ແລະ ຄ່າຕ່າງໆຕັ້ງໄວ້ແລ້ວ ໄດ້ຈາກລະບົບປະຕິບັດການversion ທີ່ໃໝ່ກວ່າ“

ບັນຫາຂອງ bug ຂອງລະບົບນີ້ ຈະບໍ່ເຮັດໃຫ້ການແຈ້ງເຕືອນຜູ້ໃຊ້ເລີຍແມ້ແຕ່ໜ້ອຍ ແຕ່ຈະຕັ້ງຄ່າຕ່າງໆເອງ ໂດຍອັດຕະໂນມັດ ເຊິ່ງບັນຫາກໍ່ຄືຜູ້ໃຊ້ເອງ ຈະບໍ່ສາມາດຮູ້ໄດ້ເລີຍວ່າເກີດຫຍັງຂື້ນ ຫຼື ຄ່າ setting ຕ່າງໆຖືກປ່ຽນໄປເປັນຫຍັງແດ່ ຖ້າບໍ່ເຂົ້າໄປເບີ່ງເອງ

ເຊິ່ງຈາກງານວິໄຈນີ້ ທີມວິໄຈພົບວ່າ bug ທີ່ມີຄວາມສ່ຽງຕໍ່ລະບົບປະຕິບັດການແອນດຣອຍໃນ Package Management Service (PMS) ເຖິງ 6 ໂຕນຳກັນ ໂດຍ Package Management Service ໝາຍເຖິງset ຂອງ software tool ທີ່ຈະ install , upgrade , config ຫຼື remove ໂຕsoftware package ໂດຍອັດຕະໂນມັດຈາກລະບົບປະຕິບັດການນັ້ນໆ ຢ່າງສະໝ່ຳສະເໝີ ແລະ ທີມວິໄຈໄດ້ຢືນຢັນແລ້ວວ່າ bug ທີ່ເປັນອັນຕະລາຍຕໍ່ລະບົບເຫຼົ່ານີ້ພົບໃນ Open Source Project version ຂອງແອນດຣອຍ ລວມໄປເຖິງ version ທີ່ມີການປັບແຕ່ງປະມານ 3,500 version ຂອງແອນດຣອຍໂດຍ OEM ຫຼືmobile carrier ເຊິ່ງກຸ່ມນັກວິໄຈປະເມີນວ່າ ຈະມີອຸປະກອນທີ່ໃຊ້ງານລະບົບແອນດຣອຍສ່ຽງຕໍ່ອັນຕະລາຍເຖິງພັນລ້ານເຄື່ອງ

ຫຼື ແມ້ແຕ່ການລວມກັນຂອງແອພພລິເຄຊັ່ນໂຕເກົ່າ ແລະ ໂຕໃໝ່ (Merging  2 apps from old and new systems) ຄວາມສ່ຽງຕໍ່ຄວາມປອດໄພລະບົບກໍ່ຍັງເກີດຂື້ນໄດ້ເມື່ອແອພທີ່ຢູ່ເທິງ Original system ກາຍເປັນແອພທີ່ມີຄວາມສ່ຽງ

ທີມນັກວິໄຈແນະນຳໂຕສະແກນລະບົບໃໝ່ທີ່ມີຊື່ວ່າ “SecUP” ຫຼື Secure Update Scanner ເຊິ່ງສາມາດຊ່ວຍກວດຈັບແອພທີ່ມີຄວາມສ່ຽງຕໍ່ລະບົບ (malicious apps) ທີ່ຢູ່ໃນເຄື່ອງເພື່ອລໍຖ້າການຍົກລະດັບສິທິການເຂົ້າເຖິງລະບົບ ໂດຍໂຕສະແກນໂຕນີ້ຈະກວດສອບsource code ຂອງ PMS ຈາກແອນດຣອຍversion ອື່ນໆ ເພື່ອເບີ່ງຫາຈຸດບົກພ່ອງຂອງຂໍ້ຈຳກັດຂອງການຮັກສາຄວາມປອດໄພຂອງລະບົບ

ເຊິ່ງປະເດັ່ນເຫຼົ່ານີ້ ໄດ້ຖືກແຈ້ງທາງ Google ຮູ້ແລ້ວ ແລະ Google ເອງກໍ່ໄດ້ອອກpatch ມາເພື່ອຮັບມືກັບ bug ຂອງລະບົບແລ້ວ 1 ໂຕຈາກທັງໝົດ 6 ໂຕ

ສາມາດອ່ານງານວິໄຈສະບັບເຕັມໄດ້ທີ່ >> privilege escalation through android updating <<

ສາມາດໂຫຼດ Secure Update Scanner ໄດ້ທີ່ >> Secure Update Scanner <<

ຂໍ້ມູນຈາກ: zdnet, beartai

ຮູບຈາກ: semptoshibabp blogspot

Advertisements

Make a Comment

Leave a Reply

Fill in your details below or click an icon to log in:

WordPress.com Logo

You are commenting using your WordPress.com account. Log Out / Change )

Twitter picture

You are commenting using your Twitter account. Log Out / Change )

Facebook photo

You are commenting using your Facebook account. Log Out / Change )

Google+ photo

You are commenting using your Google+ account. Log Out / Change )

Connecting to %s

Liked it here?
Why not try sites on the blogroll...

%d bloggers like this: