Τα smartphone είναι κεντρικό στοιχείο στη ζωή πολλών από εμάς. Μέσω αυτών επικοινωνούμε με αγαπημένα πρόσωπα, προγραμματίζουμε τις μέρες μας και οργανώνουμε τη ζωή μας. Γι' αυτό η ασφάλεια είναι τόσο σημαντική για αυτούς. Το πρόβλημα είναι όταν εμφανίζεται ένα exploit που δίνει σε έναν χρήστη πλήρη πρόσβαση στο σύστημα βασικά σε οποιοδήποτε τηλέφωνο Samsung.
Οι χρήστες που τους αρέσει να προσαρμόζουν τα smartphone τους μπορούν να επωφεληθούν από αυτά τα exploits. Η βαθύτερη πρόσβαση στο σύστημα τους επιτρέπει, για παράδειγμα, να εκκινήσουν ένα GSI (Generic System Image) ή να αλλάξουν τον τοπικό κωδικό CSC της συσκευής. Δεδομένου ότι αυτό δίνει στον χρήστη προνόμια συστήματος, μπορεί επίσης να χρησιμοποιηθεί με επικίνδυνο τρόπο. Ένα τέτοιο exploit παρακάμπτει όλους τους ελέγχους αδειών, έχει πρόσβαση σε όλα τα στοιχεία της εφαρμογής, στέλνει προστατευμένες εκπομπές, εκτελεί δραστηριότητες παρασκηνίου και πολλά άλλα.
Το πρόβλημα προέκυψε στην εφαρμογή TTS
Το 2019, αποκαλύφθηκε ότι μια ευπάθεια με την ένδειξη CVE-2019-16253 επηρεάζει τη μηχανή μετατροπής κειμένου σε ομιλία (TTS) που χρησιμοποιείται από τη Samsung σε εκδόσεις παλαιότερες από την 3.0.02.7. Αυτό το exploit επέτρεψε στους εισβολείς να ανυψώσουν τα προνόμια σε δικαιώματα συστήματος και αργότερα διορθώθηκε.
Fotogalerie
Η εφαρμογή TTS βασικά δεχόταν τυφλά όποια δεδομένα λάμβανε από τον κινητήρα TTS. Ο χρήστης μπορούσε να περάσει μια βιβλιοθήκη στη μηχανή TTS, η οποία στη συνέχεια περνούσε στην εφαρμογή TTS, η οποία θα φορτώσει τη βιβλιοθήκη και στη συνέχεια θα την εκτελούσε με δικαιώματα συστήματος. Αυτό το σφάλμα διορθώθηκε αργότερα, έτσι ώστε η εφαρμογή TTS να επικυρώνει δεδομένα που προέρχονται από τη μηχανή TTS.
Ωστόσο, η Google σε AndroidΤο u 10 εισήγαγε την επιλογή επαναφοράς εφαρμογών εγκαθιστώντας τες με την παράμετρο ENABLE_ROLLBACK. Αυτό επιτρέπει στο χρήστη να επαναφέρει την έκδοση της εφαρμογής που είναι εγκατεστημένη στη συσκευή στην προηγούμενη έκδοση. Αυτή η δυνατότητα έχει επεκταθεί και στην εφαρμογή μετατροπής κειμένου σε ομιλία της Samsung σε οποιαδήποτε συσκευή Galaxy, η οποία είναι προς το παρόν διαθέσιμη επειδή η παλαιού τύπου εφαρμογή TTS στην οποία μπορούν να επαναφέρουν οι χρήστες σε νέα τηλέφωνα δεν είχε εγκατασταθεί ποτέ σε αυτά.
Η Samsung γνώριζε το πρόβλημα εδώ και τρεις μήνες
Με άλλα λόγια, παρόλο που το αναφερόμενο exploit 2019 έχει διορθωθεί και έχει διανεμηθεί μια ενημερωμένη έκδοση της εφαρμογής TTS, είναι εύκολο για τους χρήστες να το εγκαταστήσουν και να το χρησιμοποιήσουν σε συσκευές που κυκλοφόρησαν αρκετά χρόνια αργότερα. Όπως αναφέρει ιστός XDA Developers, η Samsung ενημερώθηκε για αυτό το γεγονός τον περασμένο Οκτώβριο και τον Ιανουάριο ένα από τα μέλη της κοινότητας προγραμματιστών της με το όνομα K0mraid3 επικοινώνησε ξανά με την εταιρεία για να μάθει τι συνέβη. Η Samsung απάντησε ότι ήταν πρόβλημα με το AOSP (Android Έργο ανοιχτού κώδικα. μέρος του οικοσυστήματος Androidu) και να επικοινωνήσετε με την Google. Σημείωσε ότι αυτό το ζήτημα έχει επιβεβαιωθεί στο τηλέφωνο Pixel.
Έτσι, το K0mraid3 πήγε να αναφέρει το πρόβλημα στην Google, μόνο για να διαπιστώσει ότι τόσο η Samsung όσο και κάποιος άλλος το είχαν ήδη κάνει. Προς το παρόν δεν είναι σαφές πώς θα προχωρήσει η Google για την επίλυση του προβλήματος, εάν όντως εμπλέκεται το AOSP.
Μπορεί να σας ενδιαφέρει
K0mraid3 σε δικαστήριο Η XDA δηλώνει ότι ο καλύτερος τρόπος για να προστατευτούν οι χρήστες είναι να εγκαταστήσουν και να χρησιμοποιήσουν αυτό το exploit. Μόλις το κάνουν, κανείς άλλος δεν θα μπορεί να φορτώσει τη δεύτερη βιβλιοθήκη στον κινητήρα TTS. Μια άλλη επιλογή είναι να απενεργοποιήσετε ή να αφαιρέσετε το Samsung TTS.
Προς το παρόν, δεν είναι σαφές εάν το exploit επηρεάζει συσκευές που κυκλοφόρησαν φέτος. Το K0mraid3 πρόσθεσε ότι ορισμένες JDM (Joint Development Manufacturing) ανέθεσαν σε εξωτερικούς συνεργάτες συσκευές όπως π.χ. Samsung Galaxy A03. Αυτές οι συσκευές ενδέχεται να απαιτούν μόνο μια σωστά υπογεγραμμένη εφαρμογή TTS από μια παλαιότερη συσκευή JDM.
