الأربعاء، 24 سبتمبر، 2014

اختبر جهازك هل هو مصاب بالثغرة الأخيرة المكتشفة بوضع SOP الأمني في المتصفح


جوجل تعمل على حث المستخدمين لتحديث نظام الأندرويد الخاص بهم للإصدار 4.4 حيث أن ربع مستخدمي أندرويد فقط يستخدمون هذا الإصدار إذ يتميز بكون الثغرات المكتشفة به محدودة وأغلبها يتم ترقيعه، عكس الإصدارات القديمة التي تحتوي العديد من الثغرات الأمنية منها ما يتم ترقيعه ومنها الذي لا يزال العديد من الهاكرز يستخدمونه ليومنا هذا، وبخصوص هذا الأمر تم اكتشاف ثغرة أمنية مؤخرا تعد من الثغرات الخطيرة،

 لذا فمن الضروري معرفة ما إذا كان جهازك مصابا بهذه الثغرة الخطيرة.

الثغرة على المتصفحات الافتراضية للاندرويد  الـ Android Browser بالاصدارات القديمة حيث قامت شركة غوغل بتغيير المتصفح الافتراضي لمتصفحها غوغل كروم بالاصدار 4.2 لكن مع ترك متصفح الأندرويد القديم، عكس إصدار 4.4 والذي يحتوي على غوغل كروم كمتصفح افتراضي فقط، الشيء الذي لا يجعله عرضة لهذه الثغرة، لذا فالمسؤولية تقع على مصنعي الهواتف وليس المستخدمين الذين لا يحدثون إصداراتهم و إن صح القول فأغلبهم لا يعرف كيف يقوم بذلك .

 شرح مبسط للثغرة؛ عند ولوج موقع معين فأنت تقوم باستيراد محتوى الموقع بشكل عام حيث أن سكريبت معين يعمل على هذا الموقع للتعديل على بعض خصائصه ليس بإمكانه التعديل على خصائص موقع آخر وهذا أمر واضح تماما، حيث توجد خاصية أمنية أو وضع أمني يسمى SOP اختصارا ل (Same-origin policy) وهو الوضع المسؤول عن منع حدوث مثل هذا الأمر.

 حيث إذا تم تشغيل الجافا سكريبت بموقع خبيث (ملغم) قمت بولوجه فلا يمكن له الاشتغال بموقع آخر وهنا تكمن خطورة هذه الثغرة حيث بإمكانها تجاوز هذا الوضع الأمني. الشيء الذي يعني أنه عندما تلج موقع معين بواسطة Android Browser أو عن طريق التطبيقات التي تستخدم هذا الأخير فإنه يمكن سرقة بياناتك الحساسة مثل الكوكيز و غيرها باستعمال ثغرات (أكواد خبيثة) أخرى .


 
ولعمل اختبار بسيط يطلعك ما إذا كان نظامك مصاب بالثغرة قم بزيارة صفحة الاختبار التالية

http://ejj.io/SOP.php

 واضغط على اختبار أو test . إذا كان جهازك مصاب بالثغرة فستظهر لك رسالة منبثقة أو Popup Message غير ذلك فجهازك ليس مصاب بالثغرة .

  تعمل غوغل على ترقيع الثغرة معتبرة نشر الترقيع أمر جد صعب، وتحمل المصنعين مسؤولية ذلك، خاصة و أن الدعم الفني من هذه الشركات ينتهي في مدة سنتين وبالتالي فأغلب الأجهزة ستكون متضررة في ظل عدم التحديث، و ما يجعل الأمر أكثر سوءا هو أنه لا تزال العديد من التطبيقات تعمل على قاعدة المتصفح الافتراضي القديم لاستيراد محتوى الأنترنت بهذه بالتطبيقات، الشيء الذي يعني أن الثغرة لا يزال يمكن استغلالها.

 ويبقى الحل الجزئي الذي نقترحه هو العمل على متصفحات أخرى كـ كروم و فايرفوكس وجعلها المتصفحات الافتراضية و تجنب التطبيقات التي تدمج Android Browser في عملها . 
ahmed muslim Web Developer

ليست هناك تعليقات:

إرسال تعليق