أصدرت شركة سامسونج هذا الأسبوع تحديثًا أمنيًا لإصلاح ثغرة خطيرة تؤثر على جميع هواتفها الذكية المباعة منذ عام 2014.
وقال الخبير التقني في (مركز التطوير الرقمي-DDC)، انه “يكمُن العيب الأمني في كيفية تعامل أجهزة سامسونج مع تنسيق الصور (Qmage)، الذي بدأت هواتف العملاقة الكورية الجنوبية في دعمه على جميع أجهزتها المباعة منذ أواخر عام 2014”.
واضاف، ان “من اكتشف الثغرة هو (ماثيو جورتشيك) Mateusz Jurczyk، الباحث الأمني في فريق (Project Zero) من جوجل، طريقة لاستغلال كيفية معالجة مكتبة رسومات أندرويد المسماة (Skia) لصور (Qmage) المرسلة إلى الجهاز، حيث يمكن استغلال هذا العيب الأمني بدون معرفة المستخدمين، أو بدون أي نوع من التفاعل مع الجهاز”.
وتابع، ان “سامسونج أقرت بمشكلة الأمان، بحيث يحتوي تحديث الأمان لشهر مايو على الإصلاح، لكن من غير المؤكد هل سيتم طرح الإصلاح لجميع الأجهزة المتأثرة”.
واوضح، ان “نظام أندرويد يعيد توجيه جميع الصور إلى مكتبة (Skia) للمعالجة – مثل إنتاج معاينات الصور المصغرة – دون علم المستخدم، بمجرد أن يتلقى مستخدم سامسونج ملف صورة عبر تطبيق (Samsung Messages)، ويمكن استغلال ملفات صور (Qmage)؛ لأنها تكشف عن موقع مكتبة (Skia) في ذاكرة الهاتف”.
وتابع “طور الباحث عرضًا توضيحيًا لإثبات المفهوم يستغل الخطأ ضد تطبيق (Samsung Messages)، الذي تضمِّنه الشركة في جميع أجهزتها، وهو المسؤول عن التعامل مع رسائل (SMS) و (MMS)، وقال جورتشيك: إنه استغل الخطأ عن طريق إرسال رسائل (MMS) متكررة إلى جهاز سامسونج”.
وأوضح أن “الهجوم قابل للتعديل، بحيث يُنفّذ دون تنبيه المستخدم، مبينا انه على الرغم من أن الباحث لم يختبر استغلال خطأ (Qmage) من خلال طرق أخرى خارج (MMS) وتطبيق (Samsung Messages)، إلا أن الاستغلال ممكن نظريًا ضد أي تطبيق يعمل على هاتف سامسونج يمكنه استقبال صور (Qmage)”.
يشار الى ان الباحث اكتشف الثغرة الأمنية في شهر فبراير وأبلغ سامسونج عنها، التي بدورها صححت الخطأ في تحديثات أمان شهر مايو 2020.
ولا يبدو أن هواتف أندرويد الذكية التي تصنعها شركات أخرى متأثرة، وذلك تبعًا لأن سامسونج هي الشركة الوحيدة التي عدلت نظام التشغيل أندرويد لدعم تنسيق الصور (Qmage)، الذي طورته شركة (Koramsoft) الكورية الجنوبية.
