اخیرا محققان آسیب پذیری‌های بحرانی در چیپ‌های Qualcomm کشف کرده‌اند که مهاجمان را قادر میسازد تنها با ارسال بسته‌های مخرب از راه دور و بدون نیاز به تعامل با کاربر، امنیت دستگاه های اندروید را به خطر بیاندازند.

این آسیب پذیری‌ها، که با عنوان QualPwn شناخته می‌شوند، توسط محققان امنیتی تیم Tencent’s Blade، کشف شده‌اند؛ و در WLAN و سیستم عامل مودم‌های Qualcomm chipsets میلیون‌ها دستگاه اندرویدی وجود دارند.

به گفته محققان، دو آسیب پذیری بحرانی در chipset های Qualcomm و یک آسیب پذیری دیگر در درایور لینوکسی Qualcomm برای اندروید وجود دارد؛ مهاجمان با استفاده از این آسیب پذیری‌ها، می‌توانند کنترل کامل دستگاه‌های اندرویدی در محدوده Wifi خود را بدست آوردند.

لیست آسیب پذیری‌ها:

• CVE-2019–۱۰۵۳۹ (Compromising WLAN): اولین آسیب پذیری، متعلق به سیستم عامل Qualcomm WLAN،  یک مسئله سرریز بافر، به دلیل عدم بررسی طول در هنگام تجزیه cap IE header می‌باشد.
• CVE-2019-10540 (WLAN into Modem issue): دومین آسیب پذیری نیز، متعلق به سیستم عامل Qualcomm WLAN،  یک مسئله سرریز بافر، به دلیل عدم بررسی مقدار شمارش دریافت شده در ویژگی در دسترس بودن NAN می‌باشد که بر عملکرد شبکه محلی NAN نیز تأثیر می‌گذارد.
• CVE-2019-10538 (Modem into Linux Kernel issue): سومین آسیب پذیری، متعلق به درایور لینوکسی Qualcomm برای اندروید، با ارسال ورودی های مخرب از چیپ Wi-Fi قادر به نوشتن قسمت هایی از هسته لینوکس می‌باشد.

بعد از نفوذ به دستگاه، سیستم عامل تمام امکانات سیستم را در اختیار مهاجمان قرار می‌دهد؛ و آن ها را قادر می‌سازد بدون شناسایی اقداماتی از قبیل نصب rootkits، استخراج اطلاعات حساس و غیره را انجام دهند.

قبلا در ماه های فوریه و مارس امسال، آسیب پذیری‌های QualPwn به Qualcomm گزارش شده بود؛ که در نتیجه آن، با اطلاع OEMها از جمله گوگل و سامسونگ، در ماه ژوئن وصله‌هایی برای رفع آن ها منتشر شد.

گوگل به تازگی در بولتن امنیتی اندروید آگوست ۲۰۱۹، وصله‌های برای رفع این آسیب پذیری‌ها منتشر کرده است. به کاربران توصیه می‌شود هر چه سریعتر برای نصب این وصله ها اقدام کنند.

محققان اعلام کرده اند با توجه به روند کند به روزرسانی دستگاه های اندرویدی، تا به روزرسانی تمام دستگاه ها به وصله های منتشرشده، اقدامی برای انتشار poc و جزئیات فنی این آسیب پذیری‌ها انجام نمی‌دهند.