أردرويد
أندرويد

ثغرة جديدة تتيح للمهاجمين تعديل التطبيقات دون تعديل توقيعها الرقمي

Janus ثغرة جديدة في أندرويد تتيح للمهاجمين تعديل التعليمات البرمجية للتطبيقات دون التأثير على توقيعها الرقمي.

منذ إصدار النسخة الأولى يطالب نظام أندرويد المطورين بتوقيع تطبيقاتهم، وعند تحديث أحد التطبيقات فإن أندرويد يقوم بمقارنة التوقيع الخاص بالتحديث مع التوقيع الخاص بالنسخة الحالية من التطبيق، وفي حالة التطابق يتم تثبيت التطبيق المحدث.

وبهذه الطريقة فإن المطورين لا يحتاجون إلى القلق بشأن ملفات APK المعدلة التي قد تسبب المشاكل، بحيث يتم ضمان أمن المستخدمين، إلا أن الأمور لا تسير دائمًا بالشكل الصحيح.

حيث كشفت شركة GuardSquare الأمنية وجود ثغرة في نظام أندرويد تحمل الاسم الرمزي “Janus”، والتي تسمح للمهاجمين بإضافة محتوى إلى ملفات APK دون تغيير في التوقيع.

وعادًة ما تستعمل ملفات APK من أجل تثبيت البرمجيات (التطبيقات والألعاب) على نظام أندرويد من خارج متجر جوجل بلاي الرسمي.

وفي الحالة العادية فإن نظام أندرويد يتحقق من التوقيع الخاص بملف APK، وإذا كان التوقيع السابق متطابق مع الحالي، فإن النظام يعمل على تحويل التطبيق إلى ملف DEX من أجل تشغيله على الجهاز.

وبالعودة إلى الثغرة فإنها تعمل على الجمع بين ملف APK غير معدل مع ملف DEX معدل قابل للتنفيذ، مما لا يؤثر على توقيع التطبيق ويسمح لنظام أندرويد بتثبيته ومن ثم بدء تشغيل التعليمات البرمجية من DEX.

هذه الطريقة تسمح للمهاجمين ببساطة باستبدال أي تطبيق بنسخة خبيثة، مثل استبدال أحد تطبيقات النظام التي تمتلك العديد من الأذونات الممنوحة له بالفعل.

ومن الجدير بالذكر بأن نطاق الثغرة محدود إلى حد ما، حيث أنها تؤثر فقط على التطبيقات التي تستعمل طريقة التوقيع القديمة، والتي تم استبدالها بالنسخة الجديدة في نسخة أندرويد 7.0.

بينما على الأجهزة الجديدة فإن المهاجمين لا يستطيعون الاستفادة إلا من التطبيقات التي لا تزال تستعمل طريقة التوقيع القديمة، أي تطبيقات الطرف الثالث القديمة.

الثغرة تم الإبلاع عنها لشركة جوجل في 31 يوليو، وتم تضمين الإصلاح في نشرة التصحيحات الأمنية الصادرة بتاريخ 5 ديسمبر.

المصدر

أحمد عنتر

محرر مختص بالشؤون التقنية

3 من التعليقات

  • للأسف، أردرويد مصدر الأخبار الأفضل لأندرويد، والمهتمين بمحتوى المواضيع من ناحية الأخطاء الإملائية والمطبعيّة وغيرها.. أصبح يأتي بِكُتّاب لا يهتمون بهذه الأشياء ولا يراجعون الموضوع بشكل كامل قبل نشره..

    أنواع الأخطاء في الموضوع هذا!!!

    • لا ارى اي اخطاء املائية و المواضيع جيدة بشكل عام
      لكن حبذا التركيز على الاجهزة و الادوات بشكل اكبر لأنها مفضلة من قبل اغلب الناس
      و يفضل نشر اخبار عن احداث و تعديلات غريبة بالأنظمة و الاجهزة و اخبار مطورين يعني بأختصار عدم الارتباط بالأخبار الرسمية فقط
      مع الشكر و التقدير