यदि आपके पास एक Android डिवाइस है, तो आप शायद स्टेजफ्राइट बग से अच्छी तरह वाकिफ हैं।
Google, Samsung, HTC, LG, Sony और Blackphone हैंडसेट के साथ-साथ विभिन्न वाहकों ने स्टेजफ्राइट के लिए एक पैच जारी किया, लेकिन जाहिर है कि यह पर्याप्त नहीं हो सकता है।
सुरक्षा फर्म एक्सोडस इंटेलिजेंस ने एक विशेष स्रोत-कोड ट्विक में एक गलती को उजागर किया, जो एक मल्टीमीडिया संदेश में डेटा को खोलने पर डिवाइस को क्रैश करने के लिए जिम्मेदार था। और, कंपनी के अनुसार, इसका फायदा उठाया जा सकता था।
$config[code] not foundइसके भाग के लिए एक्सोडस ने कहा:
"बग पर ध्यान आकर्षित करने की एक अमानवीय राशि रही है - हमारा मानना है कि हम संभवतः केवल यह नहीं देख पाए हैं कि यह त्रुटिपूर्ण है। दूसरों के दुर्भावनापूर्ण इरादे हो सकते हैं, ”
एक विकृत MP4 वीडियो फ़ाइल पैच किए गए एंड्रॉइड स्टेजफ्राइट लाइब्रेरी में भी क्रैश हो जाती है, जिससे उन उपकरणों को छोड़ दिया जाता है जिन पर वे हमला करने के लिए असुरक्षित हैं।
इस विशेष समस्या का पता 31 जुलाई के आसपास चला, जब एक्सोडस इंटेलिजेंस के सुरक्षा शोधकर्ता जॉर्डन ग्रुस्कोवन्जक ने प्रस्तावित पैच के साथ एक गंभीर समस्या देखी। उन्होंने पैच को बायपास करने के लिए एक MP4 तैयार किया और जब यह परीक्षण किया गया तो एक दुर्घटना के साथ स्वागत किया गया।
यह ध्यान रखना महत्वपूर्ण है कि सभी सामान्य कमजोरियाँ और एक्सपोज़र (सीवीई) पैच किए गए थे, और Google ने एक्सोडस की खोज को CVE-2015-3864 के साथ सौंपा है, इसलिए यह समस्या से अच्छी तरह से अवगत है।
तो स्टेजफ्राइट क्या है और यह इतना खतरनाक क्यों है?
Zimperium के अनुसार:
उन्होंने कहा, '' ये कमजोरियां बेहद खतरनाक हैं क्योंकि उन्हें इस बात की आवश्यकता नहीं है कि पीड़ित का शोषण किया जाए। स्पीयर-फ़िशिंग के विपरीत, जहां पीड़ित को पीडीएफ फाइल या हमलावर द्वारा भेजे गए लिंक को खोलने की आवश्यकता होती है, सोते समय यह भेद्यता ट्रिगर हो सकती है। "कंपनी ने आगे कहा," इससे पहले कि आप जागें, हमलावर हटा देगा। डिवाइस के संकेतों से समझौता किया जा रहा है और आप अपने दिन को हमेशा की तरह जारी रखेंगे - एक ट्रोजन फोन के साथ। ”
Android स्टेजफ्राइट शोषण Android ओएस में दोषों का उपयोग करने में सक्षम है जो इसे मल्टीमीडिया फ़ाइलों को संसाधित करने, खेलने और रिकॉर्ड करने के लिए उपयोग करता है।
एमएमएस भेजने से, स्टेजफ्राइट आपके डिवाइस में प्रवेश कर सकता है और, एक बार जब यह संक्रमित हो जाता है, तो हमलावर आपके माइक्रोफ़ोन, कैमरा और बाहरी भंडारण तक दूरस्थ पहुंच प्राप्त करता है। कुछ उदाहरणों में, डिवाइस के रूट एक्सेस को भी प्राप्त किया जा सकता है।
Android स्टेजफ्राइट बग को मूल रूप से अप्रैल में Zimperium zLabs VP of Platform Research and Exploitation Joshua J. Drake द्वारा खोजा गया था। बाद में उन्होंने कहा कि वह और उनकी टीम का मानना है कि यह "अब तक की खोज की गई सबसे खराब एंड्रॉइड कमजोरियां हैं," और कहा कि, "यह गंभीर रूप से 950 मिलियन डिवाइस, 95% एंड्रॉइड डिवाइस को उजागर करता है।"
Zimperium ने पैच के साथ Google को भेद्यता की सूचना दी, और इसने 48 घंटों के भीतर पैच को आंतरिक कोड शाखाओं में लागू करके जल्दी से कार्य किया।
जब तक समस्या का कोई निश्चित समाधान नहीं होता तब तक आप क्या कर सकते हैं?
सबसे पहले, केवल उन स्रोतों के संदेशों पर प्रतिक्रिया दें, जिन पर आप भरोसा करते हैं। इसके अतिरिक्त, अपने डिवाइस पर आपके द्वारा इंस्टॉल किए गए एप्लिकेशन पर एसएमएस, हैंगआउट और वीडियो पर एमएमएस के लिए ऑटो-डाउनलोड सुविधा को अक्षम करें।
प्रत्येक ऐप और डिवाइस का अपना स्थान होता है, लेकिन यह आम तौर पर सेटिंग्स और मीडिया डाउनलोड के अंतर्गत होता है। यदि आप इसे अपने विशेष एप्लिकेशन के लिए नहीं पा सकते हैं, तो एप्लिकेशन प्रकाशक से संपर्क करें।
इस महीने की शुरुआत में, Google ने घोषणा की कि वह ब्लैक हैट सुरक्षा सम्मेलन में एंड्रॉइड डिवाइसों के लिए मासिक सुरक्षा पैच जारी करेगा, जिसमें सैमसंग निम्नलिखित सूट करेगा।
स्टेजफ्राइट की खोज करने वाली कंपनी के पास Google Play पर एक ऐप उपलब्ध है। यह आपको यह पता करने देता है कि क्या आपका डिवाइस कमजोर है, आपका डिवाइस कौन सा CVE है और क्या आपको अपने मोबाइल ऑपरेटिंग सिस्टम को अपडेट करने की आवश्यकता है। यह CVE-2015-3864 के लिए परीक्षण भी करता है, भेद्यता Exodus खुफिया की पहचान की।
एंड्रॉइड सबसे लोकप्रिय मोबाइल ओएस प्लेटफॉर्म है, लेकिन यह बहुत ही खंडित है। इसका मतलब यह नहीं है कि हर कोई नवीनतम ओएस या सुरक्षा अद्यतन नहीं चला रहा है, जिससे यह सुनिश्चित करना बहुत मुश्किल हो जाता है कि प्रत्येक Android डिवाइस सुरक्षित है।
यदि आपके स्मार्टफोन के निर्माता ने आपके डिवाइस को पैच नहीं किया है, तो मामलों को अपने हाथों में लें और सुनिश्चित करें कि आपके पास हर समय अपने डिवाइस के लिए नवीनतम अपडेट है।
चित्र: स्टेजफ्राइट डिटेक्टर / लुकआउट मोबाइल सुरक्षा
और अधिक: Google 3 टिप्पणियाँ Comments
