खतरनाक एंड्रॉइड फोन 0-दिन की बग से पता चला - अभी पैच करें या उनके आसपास काम करें!

Google ने अभी क्रिटिकल फोरफेक्टा का खुलासा किया है शून्य दिन कीड़े एंड्रॉइड फोन की एक विस्तृत श्रृंखला को प्रभावित कर रहा है, जिसमें इसके कुछ पिक्सेल मॉडल भी शामिल हैं।

ये बग आपकी सामान्य एंड्रॉइड कमजोरियों से थोड़े अलग हैं, जो आमतौर पर एंड्रॉइड ऑपरेटिंग सिस्टम (जो कि लिनक्स-आधारित है) या इसके साथ आने वाले एप्लिकेशन, जैसे कि Google Play, संदेश या क्रोम ब्राउज़र को प्रभावित करते हैं।

हम यहां जिन चार बग के बारे में बात कर रहे हैं, उन्हें इस नाम से जाना जाता है बेसबैंड कमजोरियां, जिसका अर्थ है कि वे विशेष मोबाइल फोन नेटवर्किंग फर्मवेयर में मौजूद हैं जो फोन के तथाकथित बेसबैंड चिप पर चलता है।

सच पूछिये तो, बेसबैंड एक ब्रॉडबैंड सिग्नल के विपरीत, एक व्यक्तिगत रेडियो सिग्नल के प्राथमिक, या सबसे कम-आवृत्ति भागों का वर्णन करने के लिए इस्तेमाल किया जाने वाला शब्द है, जिसमें (बहुत ढीले) कई आसन्न आवृत्ति श्रेणियों में समायोजित कई बेसबैंड सिग्नल होते हैं और एक ही समय में प्रेषित होते हैं। डेटा दरों को बढ़ाने, हस्तक्षेप को कम करने, आवृत्ति स्पेक्ट्रम को अधिक व्यापक रूप से साझा करने, निगरानी को जटिल बनाने, या उपरोक्त सभी के लिए। शब्द बेसबैंड हार्डवेयर चिप और संबंधित फ़र्मवेयर का वर्णन करने के लिए लाक्षणिक रूप से भी उपयोग किया जाता है जिसका उपयोग उन उपकरणों में रेडियो सिग्नल भेजने और प्राप्त करने के लिए किया जाता है जो वायरलेस रूप से संचार कर सकते हैं। (कुछ भ्रामक रूप से, शब्द बेसबैंड आम तौर पर एक फोन में उपप्रणाली को संदर्भित करता है जो मोबाइल टेलीफोन नेटवर्क से कनेक्ट करने को संभालता है, लेकिन उन चिप्स और सॉफ्टवेयर को नहीं जो वाई-फाई या ब्लूटूथ कनेक्शन को संभालते हैं।)

आपके मोबाइल फोन का मॉडम

बेसबैंड चिप्स आमतौर पर आपके मोबाइल फोन के "गैर-टेलीफोन" भागों से स्वतंत्र रूप से काम करते हैं।

वे अनिवार्य रूप से अपने खुद के प्रोसेसर पर अपना एक लघु ऑपरेटिंग सिस्टम चलाते हैं, और कॉल करने और जवाब देने, डेटा भेजने और प्राप्त करने, नेटवर्क पर रोमिंग आदि के लिए मोबाइल नेटवर्क कनेक्टिविटी प्रदान करने के लिए आपके डिवाइस के मुख्य ऑपरेटिंग सिस्टम के साथ काम करते हैं। .

यदि आप डायलअप इंटरनेट का उपयोग करने के लिए काफी बड़े हैं, तो आपको याद होगा कि आपको एक मॉडेम खरीदना था (के लिए छोटा) न्यूनाधिक और विमॉडुलेटर), जिसे आपने या तो अपने पीसी के पीछे एक सीरियल पोर्ट में या उसके अंदर एक विस्तार स्लॉट में प्लग किया है; मॉडेम फोन नेटवर्क से कनेक्ट होगा, और आपका पीसी मॉडेम से कनेक्ट होगा।

ठीक है, आपके मोबाइल फोन का बेसबैंड हार्डवेयर और सॉफ्टवेयर, बहुत सरलता से, एक अंतर्निर्मित मॉडेम है, जिसे आमतौर पर फोन के SoC के रूप में जाना जाने वाले उप-घटक के रूप में लागू किया जाता है, जिसका संक्षिप्त नाम है सिस्टम-ऑन-चिप.

(आप एक एसओसी को "एकीकृत एकीकृत सर्किट" के रूप में सोच सकते हैं, जहां अलग-अलग इलेक्ट्रॉनिक घटक जो उन्हें एक मदरबोर्ड पर निकटता में घुमाकर एक दूसरे से जुड़े होते थे, उन्हें एक चिप पैकेज में जोड़कर अभी भी एकीकृत किया गया है।)

वास्तव में, आप अभी भी बेसबैंड प्रोसेसर के रूप में संदर्भित देखेंगे बेसबैंड मोडेम, क्योंकि वे अभी भी नेटवर्क से डेटा भेजने और प्राप्त करने के लिए मॉड्यूलेटिंग और डीमॉड्यूलेटिंग के व्यवसाय को संभालते हैं।

जैसा कि आप कल्पना कर सकते हैं, इसका मतलब यह है कि आपके मोबाइल डिवाइस को साइबर अपराधियों से केवल मुख्य ऑपरेटिंग सिस्टम या आपके द्वारा उपयोग किए जाने वाले ऐप्स में से एक के माध्यम से जोखिम नहीं है ...

...लेकिन बेसबैंड सबसिस्टम में सुरक्षा कमजोरियों से भी खतरा है।

कभी-कभी, बेसबैंड की खामियां एक हमलावर को न केवल इंटरनेट या फोन नेटवर्क से खुद मॉडेम में घुसने देती हैं, बल्कि मुख्य ऑपरेटिंग सिस्टम (पार्श्व गतिमानया, पिवट, जैसा कि शब्दजाल इसे कहते हैं) मॉडेम से।

लेकिन भले ही बदमाश आपके ऐप्स में मॉडेम और आगे नहीं बढ़ सकते हैं, वे लगभग निश्चित रूप से बेसबैंड में मैलवेयर इम्प्लांट करके, जैसे कि आपके नेटवर्क डेटा को सूँघना या डायवर्ट करना, आपके पर जासूसी करना, लगभग निश्चित रूप से आपको भारी मात्रा में साइबर नुकसान पहुंचा सकते हैं। पाठ संदेश, अपने फ़ोन कॉल को ट्रैक करना, और बहुत कुछ।

इससे भी बदतर, आप केवल अपने Android संस्करण संख्या या अपने ऐप्स के संस्करण संख्या को यह जांचने के लिए नहीं देख सकते हैं कि क्या आप कमजोर हैं या पैच किए गए हैं, क्योंकि आपके पास जो बेसबैंड हार्डवेयर है, और फर्मवेयर और पैच जो आपको इसके लिए चाहिए, आपके भौतिक उपकरण पर निर्भर करता है, उस ऑपरेटिंग सिस्टम पर नहीं, जिस पर आप चल रहे हैं।

यहां तक ​​​​कि डिवाइस जो सभी स्पष्ट मामलों में "समान" हैं - एक ही ब्रांड के तहत बेचे जाते हैं, एक ही उत्पाद नाम का उपयोग करते हुए, एक ही मॉडल नंबर और बाहरी रूप से - अलग-अलग बेसबैंड चिप्स हो सकते हैं, इस पर निर्भर करता है कि किस कारखाने ने उन्हें इकट्ठा किया है या उन्हें किस बाजार में बेचा गया था।

नया शून्य-दिन

Google के हाल ही में खोजे गए बग का वर्णन इस प्रकार है:

[बग नंबर] CVE-2023-24033 (और तीन अन्य भेद्यताएं जिन्हें अभी तक CVE पहचान सौंपी जानी है) को इंटरनेट-टू-बेसबैंड रिमोट कोड निष्पादन के लिए अनुमति दी गई है। [Google] प्रोजेक्ट ज़ीरो द्वारा किए गए परीक्षण इस बात की पुष्टि करते हैं कि वे चार भेद्यताएँ एक हमलावर को बेसबैंड स्तर पर बिना किसी उपयोगकर्ता के संपर्क के दूर से एक फोन से समझौता करने की अनुमति देती हैं, और केवल यह आवश्यक है कि हमलावर को पीड़ित का फ़ोन नंबर पता हो।

सीमित अतिरिक्त अनुसंधान और विकास के साथ, हम मानते हैं कि कुशल हमलावर चुपचाप और दूर से प्रभावित उपकरणों से समझौता करने के लिए जल्दी से एक परिचालन शोषण करने में सक्षम होंगे।

सादे अंग्रेजी में, एक इंटरनेट-टू-बेसबैंड रिमोट कोड एक्जीक्यूशन होल का मतलब है कि अपराधी आपके फोन के उस हिस्से में इंटरनेट पर मैलवेयर या स्पाइवेयर इंजेक्ट कर सकते हैं जो नेटवर्क डेटा भेजता और प्राप्त करता है ...

…आपके वास्तविक डिवाइस पर हाथ डाले बिना, आपको एक दुष्ट वेबसाइट की ओर आकर्षित करना, आपको एक संदिग्ध ऐप इंस्टॉल करने के लिए राजी करना, पॉप-अप चेतावनी में गलत बटन पर क्लिक करने की प्रतीक्षा करना, खुद को एक संदिग्ध अधिसूचना के साथ धोखा देना, या धोखा देना आप किसी और तरीके से .

18 कीड़े, चार अर्ध-गुप्त रखे गए

Google द्वारा 18 के अंत और 2022 की शुरुआत में रिपोर्ट किए गए इस नवीनतम बैच में 2023 बग थे।

Google का कहना है कि यह अब उनके अस्तित्व का खुलासा कर रहा है क्योंकि सहमत समय बीत चुका है क्योंकि उनका खुलासा किया गया था (Google की समय सीमा आमतौर पर 90 दिन या इसके करीब है), लेकिन उपरोक्त चार बगों के लिए, कंपनी किसी भी विवरण का खुलासा नहीं कर रही है, यह देखते हुए कि :

इन भेद्यताओं तक पहुँच के स्तर के एक बहुत ही दुर्लभ संयोजन के कारण और जिस गति से हम मानते हैं कि एक विश्वसनीय परिचालन शोषण तैयार किया जा सकता है, हमने उन चार भेद्यताओं के लिए प्रकटीकरण में देरी करने के लिए एक नीतिगत अपवाद बनाने का निर्णय लिया है जो इंटरनेट-से- बेसबैंड रिमोट कोड निष्पादन

सरल अंग्रेजी में: अगर हम आपको बताएं कि ये बग कैसे काम करते हैं, तो हम साइबर अपराधियों के लिए बहुत आसान बना देंगे कि वे बहुत से लोगों के फोन पर चुपके से मालवेयर इम्प्लांट करके वास्तव में बुरा काम करना शुरू कर दें।

दूसरे शब्दों में, यहां तक ​​कि Google, जिसने अतीत में अपने प्रकटीकरण की समय सीमा को बढ़ाने से इनकार करने और अभी भी बिना पैच किए शून्य-दिनों के लिए खुले तौर पर प्रूफ-ऑफ-कॉन्सेप्ट कोड प्रकाशित करने के लिए विवादों को आकर्षित किया है, ने अपने प्रोजेक्ट जीरो की जिम्मेदारी की भावना का पालन करने का फैसला किया है। प्रकटीकरण प्रक्रिया, इसके पत्र से चिपके रहने के बजाय।

आमतौर पर पत्र से चिपके रहने और इसके प्रकटीकरण नियमों की भावना के लिए Google का तर्क पूरी तरह से अनुचित नहीं है। अनपेक्षित बगों के विवरणों को कब प्रकट करना है, यह तय करने के लिए एक अनम्य एल्गोरिथ्म का उपयोग करके, भले ही उन विवरणों का उपयोग बुराई के लिए किया जा सकता हो, कंपनी का तर्क है कि पक्षपात और व्यक्तिपरकता की शिकायतों से बचा जा सकता है, जैसे, "कंपनी एक्स को अतिरिक्त तीन क्यों मिले उनकी बग को ठीक करने के लिए सप्ताह, जबकि कंपनी Y ने नहीं किया?"

क्या करना है?

घोषित किए गए लेकिन पूरी तरह से खुलासा नहीं किए गए बग के साथ समस्या यह है कि प्रश्नों का उत्तर देना मुश्किल है, "क्या मैं प्रभावित हूं? और अगर ऐसा है तो मुझे क्या करना चाहिए?"

जाहिरा तौर पर, Google का शोध उन उपकरणों पर केंद्रित था जो सैमसंग Exynos- ब्रांडेड बेसबैंड मॉडेम घटक का उपयोग करते थे, लेकिन इसका मतलब यह नहीं है कि सिस्टम-ऑन-चिप खुद को Exynos के रूप में पहचान या ब्रांड करेगा।

उदाहरण के लिए, Google के हाल ही के पिक्सेल उपकरण Google के अपने सिस्टम-ऑन-चिप, ब्रांडेड का उपयोग करते हैं टेन्सर, लेकिन Pixel 6 और Pixel 7 दोनों ही इन अभी भी अर्ध-गुप्त बेसबैंड बग के प्रति संवेदनशील हैं।

परिणामस्वरूप, हम आपको संभावित रूप से प्रभावित उपकरणों की एक निश्चित सूची नहीं दे सकते, लेकिन Google रिपोर्ट करता है (हमारा जोर):

चिपसेट को उपकरणों से मैप करने वाली सार्वजनिक वेबसाइटों की जानकारी के आधार पर, प्रभावित उत्पादों में शामिल होने की संभावना है:

• से मोबाइल उपकरण सैमसंग, में शामिल हैं S22, M33, M13, M12, A71, A53, A33, A21s, A13, A12 और A04 श्रृंखला;
• से मोबाइल उपकरण विवो, में शामिल हैं S16, S15, S6, X70, X60 और X30 श्रृंखला;
• RSI पिक्सेल 6 और पिक्सेल 7 से उपकरणों की श्रृंखला गूगल, और
• कोई भी वाहन जो उपयोग करता है एक्सिनोस ऑटो T5123 चिपसेट।

Google का कहना है कि Pixel 6 और Pixel 7 दोनों में बेसबैंड फ़र्मवेयर को मार्च 2023 Android सुरक्षा अपडेट के हिस्से के रूप में पैच किया गया था, इसलिए Pixel उपयोगकर्ताओं को यह सुनिश्चित करना चाहिए कि उनके डिवाइस के लिए नवीनतम पैच हैं।

अन्य उपकरणों के लिए, अलग-अलग विक्रेता अपने अपडेट भेजने में अलग-अलग समय ले सकते हैं, इसलिए विवरण के लिए अपने विक्रेता या मोबाइल प्रदाता से संपर्क करें।

इस बीच, यदि आप:

• वाई-फ़ाई कॉलिंग बंद करें.
• वॉइस-ओवर-LTE (VoLTE) को बंद कर दें।

गूगल में शब्द, "इन सेटिंग्स को बंद करने से इन कमजोरियों का शोषण जोखिम दूर हो जाएगा।"

यदि आपको इन सुविधाओं की आवश्यकता नहीं है या आप इनका उपयोग नहीं करते हैं, तो आप इन्हें वैसे भी बंद कर सकते हैं जब तक कि आप यह सुनिश्चित नहीं कर लेते कि आपके फ़ोन में कौन सी मॉडेम चिप है और यदि इसे अपडेट की आवश्यकता है।

आखिरकार, भले ही आपका डिवाइस अभेद्य हो या पहले से ही पैच हो गया हो, आपको उन चीज़ों के न होने का कोई नकारात्मक पहलू नहीं है जिनकी आपको आवश्यकता नहीं है।

---

विशेष रुप से प्रदर्शित की छवि विकिपीडिया से, उपयोगकर्ता द्वारा Köf3, के तहत एक सीसी द्वारा एसए 3.0 लाइसेंस।

---

• एसईओ संचालित सामग्री और पीआर वितरण। आज ही प्रवर्धित हो जाओ।
• प्लेटोब्लॉकचैन। Web3 मेटावर्स इंटेलिजेंस। ज्ञान प्रवर्धित। यहां पहुंचें।
• स्रोत: https://nakedsecurity.sophos.com/2023/03/17/dangerous-android-phone-0-day-bugs-revealed-patch-or-work-around-them-now/