محققین امنیتی درباره چند آسیب پذیری موجود در فروشگاه Google Play هشدار دادند. این حفره های امنیتی به کلاهبرداران اینترنتی اجازه می دهد که از راه دور بروی دستگاه اندرویدی شما بدافزار نصب و اجرا کنند.

“تاد بردسلی”, سرپرست فنی پروژه Metasploit Framework در شرکت Rapid7, هشدار داد که حفره امنیتی (X-Frame-Options (XFO زمانی که با نقص WebView موجود در اندروید جلی بین (Jelly Bean) ترکیب شود, راهی را برای هکرها باز می کند که توسط آن می توانند بی سرو صدا هر برنامه ای را که بخواهند, حتی بدون رضایت کاربر, از طریق پلی استور بروی دستگاه قربانی نصب کنند.

کاربران در معرض خطر

این آسیب پذیری کاربرانی که از اندروید 4.3 جلی بین و نسخه های قبلی آن استفاده می کنند را در معرض خطر قرار می دهد. WebView جزئی از هسته‌ی مورد استفاده در اندروید برای بارگذاری صفحات وب می باشد که اخیراً در آن حفره‌ای بسیار خطرناک یافت شده است. متأسفانه گروه امنیتی اندروید برای رفع این نقص در نسخه های قدیمی اندروید اقدامی نکرده است. همچنین افرادی که مرورگر شخص ثالث نصب کرده اند نیز در معرض این خطر هستند.

به گفته محققان, مرورگر اندروید 4.3 و ماقبل آن در برابر حملات UXSS و گوگل پلی استور در برابر حملات XSS آسیب پذیر می باشند.

نقص UXSS

در حملات UXSS آسیب پذیری های موجود در سمت کلاینت (سرویس گیرنده) توسط یک نرم‌افزار مخرب مخصوص آن آسیب پذیری از طریق یک صفحه وب و یا یک افزونه مورد استفاده قرار می گیرد تا یک حفره XSS ایجاد شود. هکرها با استفاده از این حفره می توانند کدهای مخرب خود را اجرا, و یا مکانیسم های امنیتی موجود در مرورگر را دور زده یا غیرفعال کنند.

بردسلی در این باره می گوید:

بعضی از کاربران این سیستم عامل ممکن است مرورگرهای موجود در بازار که در مقابل این حفره آسیب پذیر هستند را نصب کرده باشند. این کاربران تا زمانی که حفره XFO موجود در فروشگاه گوگل پلی رفع نشود, در معرض خطر هستند.

در آغاز ماه جاری, یک حفره UXSS در آخرین نسخه های Internet Explorer یافت شد که توسط آن هکرها می توانستند کدهای مخرب خود را درون وب سایت های کاربران تزریق کنند و کوکی ها, نشست ها (Sessions) و اعتبار نامه های لاگین کاربران را بدزدند.

چگونه از خطر این آسیب پذیری در امان بمانیم؟

  • از مرورگرهای امن و شناخته شده مانند Google Chrome, Mozilla Firefox و یا Dolphin استفاده کنید.
  • یکی دیگر از روش های موثر برای در امان ماندن در برابر این آسیب پذیری خارج شدن از اکانت Google Play می باشد که البته ممکن است این عمل برای بسیاری از کاربرانی که به آن عادت کرده اند سخت باشد.

نظر شما درباره این آسیب پذیری چیست؟ آیا گوگل را برای انتشار نکردن پچ و وصله نرم افزاری مناسب جهت رفع مشکل موجود در WebView مقصر می دانید و یا اینکه شرکت های تولید کننده گوشی ها اندروید در این زمینه کم کاری می کنند؟