ช่องโหว่ Android กระตุ้นความรู้สึกเหมือนการรั่วไหลข้อมูลขนาดใหญ่: เหตุการณ์ที่เกิดบ่อยเกินไป ที่ผมอาจเป็นส่วนหนึ่ง อย่างน้อยกับการรั่วไหลข้อมูลใหญ่ ผมมีโอกาสตัดบัญชีและคอธารบาดแผลข้อมูล แต่กับบั๊กล่าสุดของ Android -- QuadRoot -- ทำได้ไม่ได้
เนื่องจากช่องโหว่ไม่ได้อยู่ที่ Android เพียงอย่างเดียว ไม่ อุปกรณ์ของคุณอาจถูกทำลายโดย Qualcomm จักรวาลฮาร์ดแวร์อเมริกัน และความนิยมที่นับหนึ่งในฐานะ Powerhouse ที่เลือกสำหรับอุปกรณ์ Android หลากหลายรุ่นทั่วโลก
บั๊กนี้ต่างจากปกติเล็กน้อย บั๊ก Android ปกติส่งผลต่อผู้ผลิตรายเดียวหรือกลุ่มเล็กที่ใช้ฮาร์ดแวร์เฉพาะ แต่ QuadRoot ประมาณการส่งผลต่อผู้ใช้ Android 900 ล้านคนทั่วโลก นั่นคือคุณ ผม และทุกคนที่คุณเคยรัก
มาดูว่า QuadRoot คืออะไร หมายถึงอะไรกับคุณ และใครกำลังทำอะไรเพื่อแก้ไข
QuadRoot ใหญ่โต
มีสองสิ่งที่ทำให้ QuadRoot แตกต่างจากบั๊ก Android อื่นๆ ที่เจอในไม่กี่ปีที่ผ่านมา ก่อนอื่น Check Point ทีมวิจัยความปลอดภัยที่ค้นพบบั๊ก อธิบายว่า:
"QuadRooter คือชุดช่องโหว่ 4 ช่อง ที่ส่งผลต่ออุปกรณ์ Android ที่สร้างขึ้นด้วยชิปเซ็ต Qualcomm Qualcomm เป็นนักออกแบบชิปเซ็ต LTE ชั้นนำโลก มีส่วนแบ่งตลาด Baseband Modem LTE 65% หากช่องโหว่ใดช่องหนึ่งถูกใช้ประโยชน์ โจมตีสามารถกระตุ้นการเพิ่มสิทธิ์ (Privilege Escalation) เพื่อเข้าถึง Root ของอุปกรณ์ได้"
พวกเขารายการช่องโหว่ความปลอดภัย 4 ช่องว่า:
- CVE-2016-2503 พบใน GPU driver ของ Qualcomm แก้ไขใน Android Security Bulletin กรกฎาคม 2016 ของ Google
- CVE-2016-2504 พบใน GPU driver ของ Qualcomm แก้ไขใน Android Security Bulletin สิงหาคม 2016 ของ Google
- CVE-2016-2059 พบใน Kernel module ของ Qualcomm แก้ไขในเมษายน แต่สถานะแพทช์ไม่ทราบ
- CVE-2016-5340 พบใน GPU driver ของ Qualcomm แก้ไขแล้ว แต่สถานะแพทช์ไม่ทราบ
อุปกรณ์ของฉันรุกรานหรือไม่?
เนื่องจาก Qualcomm เป็นนักออกแบบและผู้ผลิตชิปเซ็ต LTE ชั้นนำโลก ครอบครองตลาด Baseband Modem LTE ประมาณ 65% โอกาสสูงที่อุปกรณ์ของคุณจะถูกส่งผลกระทบ คุณสามารถตรวจสอบได้ด้วย QuadRooter Scanner [ไม่พร้อมใช้งานแล้ว] ที่พัฒนาและเผยแพร่โดย Check Point (ผู้ค้นพบช่องโหว่) ผมใช้ OnePlus One:
วันน่าเศร้าสำหรับผมจริงๆ
ผมมีโอกาสถูกใช้ประโยชน์หรือไม่?
Check Point แนะนำว่าการเปิดเผยอุปกรณ์ด้วยช่องโหว่ใดช่องหนึ่งค่อนข้างง่าย
"โจมตีสามารถใช้ช่องโหว่เหล่านี้ผ่านแอปพลิเคชันที่เป็นอันตราย แอปแบบนี้ไม่ต้องการสิทธิ์พิเศษในการใช้ประโยชน์จากช่องโหว่เหล่านี้ ทำให้ผู้ใช้ไม่สงสัยตอนติดตั้ง"
นี้ไม่ใช่ข้อบกพร่องที่มาจากการอัปเดตเฟิร์มแวร์ ช่องโหว่มีอยู่ตอนอุปกรณ์ส่งจากโรงงาน ข้อบกพร่องที่พบใน Software Drivers ที่ควบคุมการสื่อสารระหว่างส่วนประกอบชิปเซ็ต สามารถแก้ไขได้จริงๆ เพียงผู้ผลิตอุปกรณ์ผ่านการอัปเดต OTA
แตกต่างจากบั๊ก Stagefright ปีที่แล้ว QuadRoot ต้องการการติดตั้งแอปอันตราย โดยน่าจะหลังจากเปิดการติดตั้งแอปจาก "Unknown Sources" เพิ่มเติม และตามที่ Google ชี้ให้เห็นในข้อความของพวกเขา (อ่านได้ในส่วนต่อไป) ฟีเจอร์ "Verify Apps" ของ Android ออกแบบมาเพื่อป้องกันช่องโหว่ประเภทนี้พอดี ฟีเจอร์นี้มากับ Android 4.2 Jelly Bean และเนื่องจากอุปกรณ์ Android มากกว่า 90% รันรุ่นนี้หรือใหม่กว่า และ บั๊กนี้ส่งผลเฉพาะชิปเซ็ตที่กล่าวมา - ผมคิดว่าทุกอย่างจะเป็นโอก
ต่อไปจะเกิดอะไรขึ้น?
เนื่องจากเป็นบริษัทวิจัยความปลอดภัยมืออาชีพ Check Point แจ้ง Qualcomm เกี่ยวกับช่องโหว่ตั้งแต่หลายเดือนก่อน ดังนั้นพวกเขาได้ผลิตแพทช์ชิปเซ็ตแล้วและส่งให้ผู้ผลิตอุปกรณ์ ลูกบอลอยู่ในมือพวกเขา
ผู้ผลิตอุปกรณ์ยอดนิยมหลายรายได้ดำเนินการเพื่อปลอบใจผู้ใช้ ในบางกรณี แพทช์ได้ปล่อยออกมาแล้ว นี่คือผู้ผลิตหลักและสถานะปัจจุบัน [ลิงก์เสียหายถูกลบ]
Google ดำเนินการอย่างรวดเร็วเพื่อปกป้องผู้ใช้
"อุปกรณ์ Android ที่มีระดับแพทช์ความปลอดภัยล่าสุดของเรา ได้รับการป้องกันจาก 3 ใน 4 ช่องโหว่แล้ว ช่องโหว่ที่สี่ CVE-2016-5340 จะได้รับการแก้ไขใน Android Security Bulletin อันจะถึง แต่องค์ประกอบพันธมิตร Android สามารถดำเนินการเร็วขึ้นโดยอ้างอิงแพทช์สาธารณะที่ Qualcomm จัดเตรียมไว้"
ในฐานะนักพัฒนาแกนกลางของ Android Google ยังเน้นมาตรการความปลอดภัยอื่นๆ ที่มีอยู่แล้ว
"Verify Apps และ SafetyNet ของเราช่วยระบุ บล็อก และลบแอปพลิเคชันที่ใช้ประโยชน์จากช่องโหว่แบบนี้"
อุปกรณ์ยอดนิยม: Nexus 5X, Nexus 6, Nexus 6P
Blackberry
เหมือนที่กล่าวไว้ ผู้ผลิตรายหนึ่งได้ปล่อยแพทช์ให้ผู้ใช้แล้ว ขอขอบคุณและชมเชยผู้ผลิตมือถือเก่าแก่ Blackberry
"สามช่องโหว่จากสี่ได้รับการแก้ไขบนอุปกรณ์ PRIV ด้วยแพทช์ Marshmallow สิงหาคม และบนอุปกรณ์ DTEK50 ทุกเครื่อง นอกจากนี้ Secure Boot Chain ที่มีในอุปกรณ์ BlackBerry ทั้งหมดลดทอนปัญหาที่เหลือโดยธรรมชาติ เราไม่ทราบการใช้ประโยชน์จากช่องโหว่นี้ในธรรมชาติจริง และไม่คิดว่าลูกค้าอยู่ในความเสี่ยงจากประเด็นนี้"
อุปกรณ์ยอดนิยม: Blackberry Priv
Sony
Sony กำลังทำงานเพื่อทำให้แพทช์พร้อมสำหรับอุปกรณ์ Qualcomm ของพวกเขา
"Sony Mobile ให้ความสำคัญกับความปลอดภัยและความเป็นส่วนตัวของข้อมูลลูกค้าอย่างยิ่ง เราทราบช่องโหว่า 'QuadRooter' และกำลังทำงานเพื่อให้แพทช์ความปลอดภัยพร้อมภายในการบำรุงรักษาซอฟต์แวร์ปกติ ทั้งโดยตรงไปยังอุปกรณ์ตลาดเปิดและผ่านพันธมิตรเครือข่าย ทำให้เวลาอาจแตกต่างตามภูมิภาคและ/หรือผู้ดำเนินการ"
อุปกรณ์ยอดนิยม: Sony Xperia Z Ultra
Motorola
Motorola เป็นอีกผู้ผลิตที่ให้ข่าวดี
"เมื่อเร็วๆ นี้ พบช่องโหว่ความปลอดภัยที่เป็นไปได้ Quadrooter ในอุปกรณ์ Android บางรุ่น ช่องโหว่นี้สามารถใช้ประโยชน์ได้ก็ต่อเมื่อผู้ใช้ปิดมาตรการความปลอดภัยในตัว Android และดาวน์โหลดแอปพลิเคชันอันตราย สำหรับข้อมูลเพิ่มเติมเกี่ยวกับวิธีปิดใช้งาน ลิงก์นี้มีประโยชน์สำหรับผู้บริโภค"
อุปกรณ์ยอดนิยม: Moto X
HTC
HTC เงียบเกินไปเรื่อง QuadRoot ถึงแม้จะมีอุปกรณ์อย่างน้อย 2 รุ่นที่เสี่ยง
"HTC ให้ความสำคัญกับความปลอดภัยลูกค้าอย่างยิ่ง เราทราบรายงานเหล่านี้และกำลังสืบสวน"
อุปกรณ์ยอดนิยม: HTC 10, HTC One M9
OnePlus
OnePlus วางแผนรวมอัปเดต QuadRoot ในแพทช์ถัดไป
"ความปลอดภัยเป็นความสำคัญสูงสุดของ OnePlus แพทช์ความปลอดภัยที่เกี่ยวข้องจะรวมอยู่ใน OTAs (Over The Air updates) ถัดไปสำหรับอุปกรณ์ OnePlus ทุกเครื่อง"
Samsung
ยังไม่มีข้อความประกาศอย่างเป็นทางการจาก Samsung
อุปกรณ์ยอดนิยม: Galaxy S7, Galaxy S7 Edge
LG
เช่นกัน ยังไม่มีข้อความประกาศอย่างเป็นทางการจาก LG
อุปกรณ์ยอดนิยม: LG G5, LG G4, LG V10
ถึงเวลากังวลหรือยัง?
เหมือนช่องโหว่ความปลอดภัยส่วนใหญ่ คุณต้องระมัดระวัง ช่องโหว่เหล่านี้มีอยู่ แต่หากคุณไม่ดาวน์โหลดแอปที่มีรหัสอันตรายที่ตรงกัน คุณไม่น่าจะพบอุปกรณ์ถูกทำลาย
Google Play Store มีแอปพลิเคชันหลายล้านตัว แอปที่มีรหัสอันตรายสำหรับบั๊กเหล่านี้อาจเป็นตัวไหนก็ได้ ดังนั้น จงระมัดระวัง ตรวจสอบฟีดแบ็ก ตรวจสอบข้อมูลนักพัฒนาและผู้เผยแพร่ ดูจำนวนดาวน์โหลด พิจารณากรณีหลอกลวงทั่วไป อย่าดาวน์โหลดแอปบ้าที่เสนอเปลี่ยนโทรศัพท์ของคุณเป็นสิ่งที่มันไม่ใช่
คุณควรหลีกเลี่ยงผู้ทำร้ายได้ ก่อนที่ผู้ผลิตอุปกรณ์จะปล่อยแพทช์เพื่อปรับปรุงความปลอดภัย แต่บั๊กล่าสุดนี้อีกครั้งเน้นย้ำความเสี่ยงที่นिहายในโมเดลความปลอดภัย Android ไม่เหมือน Apple ที่พัฒนาแพทช์และปล่อยให้ผู้ใช้หลายร้อยล้านคนได้ Critical Android security patches ต้องผ่านโซ่อุปทานทั้งหมดของแต่ละผู้ผลิต ก่อนจะถึงผู้ใช้ที่ออกแบบมาเพื่อช่วยเหลือ
ผมรัก Android และจะใช้ต่อไปแน่นอน แต่ในฐานะผู้ใช้ คุณต้องอยู่ในสถานะพร้อมตลอดเวลา
กังวลเรื่อง QuadRoot? จำนวนช่องโหว่ Android ทำให้คุณคิดใหม่เกี่ยวกับแพลตฟอร์มหรือไม่? บอกความคิดเห็นได้ด้านล่าง!
