Muhtasari Timu ya Majibu ya Dharura ya Kompyuta ya India (CERT-In) imetoa dokezo la dharura la uwezekano wa kuathiriwa (CIVN-2024-0349) kuhusu hitilafu nyingi za usalama katika Android. Athari hizi, zinazotambuliwa kama “Juu” kwa ukali, huathiri matoleo ya Android ya 12, 12L, 13, 14, na 15, na hivyo kuhatarisha mamilioni ya vifaa duniani kote. Ushauri huu hutumika kama simu ya kuwaamsha OEMs (Watengenezaji wa Vifaa Halisi), watumiaji wa Android na wataalamu wa usalama wa mtandao. Ikitumiwa, athari za kiusalama zinaweza kusababisha ufikiaji wa data ambao haujaidhinishwa, uongezaji wa marupurupu, utekelezaji wa misimbo kiholela na kuacha kufanya kazi kwa mfumo. Muhtasari wa Vitisho Android ndio mfumo endeshi wa simu unaotumika sana duniani. Inawezesha mabilioni ya vifaa ulimwenguni kote, ikijumuisha simu mahiri, kompyuta kibao, saa mahiri na vifaa vya IoT. Asili yake ya chanzo huria na mfumo mkubwa wa ikolojia huifanya kuwa shabaha kuu ya washambuliaji. CERT-In imebainisha kuwa udhaifu mwingi umegunduliwa katika vipengele mbalimbali muhimu vya Android, vikiwemo: Mfumo wa Usasishaji wa Mfumo wa Google Play Kernel na Kernel LTS Chipset Components: MediaTek, Qualcomm, Imagination Technologies Closed-Source Vipengee vya Qualcomm Utumiaji wa udhaifu huu unaweza kuruhusu watendaji vitisho: Kutoa taarifa nyeti kama vile kitambulisho cha mtumiaji na faragha data. Pata marupurupu ya juu, kuwezesha udhibiti usioidhinishwa wa kifaa. Tekeleza msimbo kiholela, unaosababisha usakinishaji wa programu hasidi au vitendo visivyoidhinishwa. Sababu ya Kunyimwa Huduma (DoS), kufanya kifaa kutokuwa thabiti au kutofanya kazi. Athari kwa Watumiaji na Tathmini ya Hatari ya OEMs Kivinjari chako hakitumii lebo ya video. Athari za kiusalama zimeainishwa kuwa za Hatari Kuu, ikionyesha uwezekano mkubwa wa uharibifu ulioenea: Ufikiaji Usioidhinishwa: Wavamizi wanaweza kutumia hitilafu kupenyeza vifaa na kufikia data nyeti ya mtumiaji. Uthabiti wa Mfumo: Unyonyaji uliofanikiwa unaweza kusababisha vifaa kuacha kufanya kazi au kufanya kazi vibaya, hivyo kutatiza utendakazi wa kawaida. Ukiukaji wa Data ya Tathmini ya Athari: Data ya kibinafsi ya mtumiaji inaweza kufichuliwa au kuibiwa, na hivyo kusababisha hatari za faragha na za kifedha. Muda wa Kukatika kwa Mfumo: Vifaa vilivyoathiriwa vinaweza kukumbwa na hitilafu, na hivyo kupunguza kasi ya tija na upatikanaji wa huduma. Hali hii inahitaji uangalizi wa haraka kutoka kwa OEMs, ambao lazima watoe alama kwa wakati, na kutoka kwa watumiaji, ambao lazima wahakikishe kuwa vifaa vyao vinasalia kusasishwa. Mawanda ya Athari za Athari Ushauri wa CERT-In huorodhesha zaidi ya udhaifu 40 unaofuatiliwa chini ya mfumo wa Kawaida wa Athari na Mfiduo (CVE). Chache kati ya CVE muhimu ni pamoja na: CVE-2023-35659 CVE-2024-20104 CVE-2024-21455 CVE-2024-38402 CVE-2024-43093 Kila CVE inaelekeza kwenye dosari maalum katika vipengele vya Android. Kwa mfano, udhaifu katika chipsets za Qualcomm na MediaTek zinaweza kuruhusu washambuliaji wa mbali kupita vidhibiti muhimu vya usalama. Athari za kernel zinaweza kuwezesha kuongezeka kwa upendeleo, kuwapa washambuliaji udhibiti kamili wa kifaa. Vitendo Vilivyopendekezwa Kwa Watumiaji Sasisha Kifaa Chako: Angalia masasisho ya mfumo mara kwa mara na uyatumie mara tu yanapopatikana. OEM hutoa viraka ili kupunguza athari hizi. Pakua Programu kutoka kwa Vyanzo vinavyoaminika Pekee: Epuka maduka ya programu za watu wengine na upakue programu kutoka Google Play pekee. Washa Vipengele vya Usalama: Tumia vipengele kama vile uthibitishaji wa kibayometriki, uthibitishaji wa vipengele viwili (2FA) na usimbaji fiche wa kifaa. Epuka Kubofya Viungo Vinavyotiliwa shaka: Mashambulizi ya hadaa mara nyingi hutumia udhaifu kama huo ili kuathiri vifaa. Kwa OEMs na Enterprises Ziweke Kipaumbele Kusimamia Viraka: Hakikisha unaleta kwa wakati dokezo za usalama kwa vifaa vinavyotumia matoleo ya Android ambayo yanaweza kuathiriwa. Fanya Tathmini za Hatari: Tathmini athari inayowezekana ya udhaifu huu kwenye vifaa na mifumo yako. Shirikiana na Google: Fanya kazi kwa karibu na Google ili kushughulikia udhaifu na kudumisha uadilifu wa masasisho ya mfumo wa Google Play. Wasiliana na Watumiaji: Wajulishe wateja kuhusu hatari na utoe maagizo ya wazi kuhusu kutumia masasisho. Uchambuzi wa Kiufundi: Kwa Nini Dosari Hizi Ni Muhimu Athari za kiusalama zinatokana na vyanzo mbalimbali, ikiwa ni pamoja na vipengele vya programu vilivyopitwa na wakati, usanidi usiofaa na matumizi bora ambayo hayajarekebishwa. Huu hapa uchanganuzi: Mfumo na Hitilafu za Mfumo: Hizi ndizo msingi wa Android na zinaweza kuwawezesha wavamizi kufikia ruhusa nyeti za kiwango cha OS. Masuala ya Kernel na Kernel LTS: Athari za Kernel ni hatari sana kwani hutoa ufikiaji wa kiwango cha chini, na kufanya uongezaji wa fursa kuwa rahisi. Udhaifu Maalum wa Chipset: Athari katika MediaTek na vipengee vya Qualcomm huangazia jinsi maunzi ya wahusika wengine yanaweza kuleta hatari kwenye vifaa vya Android. Masasisho ya Google Play: Mshambulizi anayetumia hitilafu katika masasisho ya mfumo wa Google Play anaweza kuhatarisha utaratibu unaokusudiwa kulinda vifaa. Wavamizi kwa kawaida hutumia dosari hizi kupitia: Utekelezaji wa Msimbo wa Mbali (RCE): Kuwasilisha mizigo hasidi kupitia programu au tovuti. Ukuaji wa Haki: Kupata udhibiti usioidhinishwa wa vifaa. Kunyimwa Huduma (DoS): Kupakia rasilimali za mfumo kupita kiasi ili kufanya kifaa kisifanye kazi. Kuangalia Mbele: Jukumu la Juhudi za Ushirikiano Ushauri wa CERT-In unasisitiza haja ya ushirikiano kati ya washikadau, ikiwa ni pamoja na Google, OEMs, na jumuiya ya usalama mtandao. Mtazamo wa kina unaohusisha kuweka viraka kwa wakati unaofaa, elimu ya watumiaji, na udhibiti wa hatari ulio makini ni muhimu ili kupunguza hatari hizi. Mambo Muhimu ya Kuchukua Matoleo ya 12 hadi 15 ya Android yanaweza kuathiriwa na dosari nyingi za usalama wa hali ya juu. Udhaifu huo unaweza kusababisha wizi wa data, ongezeko la manufaa au kunyimwa huduma. Watumiaji lazima watumie masasisho mara moja na wawe waangalifu wakati wa kuvinjari au kusakinisha programu. OEM zinapaswa kuharakisha uchapishaji wa viraka ili kuhakikisha usalama wa kifaa. Hata hatari moja ambayo haijadhibitiwa inaweza kuingia katika matukio makubwa ya mtandao. Kukaa macho na kuchukua hatua haraka ndiyo njia pekee ya kuhakikisha kuwa vifaa vya Android vinasalia salama dhidi ya unyonyaji. Marejeleo https://www.cert-in.org.in Related