באנדרואיד יש רכיב שמגיש קבצים מהאחסון לאפליקציות, ובתוכו רשימה של תיקיות שאסור להראות. החולשה הזאת מאפשרת לאפליקציה שכבר מותקנת על המכשיר לעקוף את הרשימה ולהגיע למה שמעברה. הציון הוא 7.3, דרושה פעולה כלשהי מצד המשתמש, והחולשה נמצאת מאז נובמבר 2024 ברשימת החולשות שמנוצלות בפועל.

מה החולשה?

הרכיב נקרא ExternalStorageProvider, והוא הצינור שדרכו אפליקציה מבקשת מהמערכת קובץ מהאחסון. לפני שהוא מגיש משהו הוא מריץ בדיקה בשם shouldHideDocument, שתפקידה לענות על שאלה אחת: האם הנתיב הזה מוביל למקום שאסור לחשוף. הבדיקה משווה את הנתיב מול רשימה, כלומר משווה טקסט לטקסט.

וכאן נכנס פרט שנשמע שולי ואינו: לאותה אות יש לפעמים יותר מצורת כתיבה אחת. Unicode, התקן שמגדיר איך תווים נשמרים, מכיר יותר מדרך אחת לייצג את אותו תו על המסך. כדי שהשוואת טקסט תעבוד בכל זאת, מקובל להעביר קודם את שני הצדדים לצורה אחידה, פעולה שנקראת נורמליזציה. כשהנורמליזציה נעשית לא נכון מתקבל מצב מוזר: שני נתיבים שנראים למשתמש זהים לגמרי, אבל הבדיקה רואה בהם שני דברים שונים. אחד מהם ברשימה החסומה. השני לא, ומוביל בדיוק לאותו מקום.

זו החולשה. הרשומה מגדירה את התוצאה כהסלמת הרשאות מקומית שאינה דורשת מהתוקף שום הרשאת הרצה נוספת, כלומר אפליקציה רגילה מגיעה למה שהמערכת אמורה הייתה להסתיר ממנה.

מי מושפע?

אנדרואיד בגרסאות 12.0, 12.1, 13.0, 14.0 ו-15.0.

זה טווח של חמש גרסאות רצופות, והוא מכסה כמעט כל טלפון אנדרואיד שנמכר בשנים האלה. מכיוון שהתקיפה מגיעה מאפליקציה שכבר מותקנת, מי שמתקין רק מהחנות הרשמית ומעט מאוד ממנה נמצא בסיכון נמוך יותר, ומי שנוהג להתקין קובצי APK מאתרים חיצוניים נמצא בדיוק במסלול שהחולשה הזאת דורשת.

האם מנוצלת בפועל?

כן. ב-7 בנובמבר 2024 נוספה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל, עם מועד יעד לגופים הפדרליים ב-28 בנובמבר 2024. הרשומה הפומבית ב-NVD נפתחה כמה ימים אחר כך, ב-13 בנובמבר 2024.

מה עושים?

עדכנו את המכשיר. התיקון מופיע בעלון האבטחה של אנדרואיד מ-1 במרץ 2025, ולצידו פורסם גם השינוי בקוד עצמו.

כדי לבדוק מה מותקן אצלכם, היכנסו להגדרות, אבטחה ופרטיות, ומשם לעדכוני מערכת. השדה שמעניין נקרא רמת תיקון האבטחה של Android והוא מציג תאריך. אם התאריך מוקדם ממרץ 2025, המכשיר אינו מכיל את התיקון.

ואם יצרן הטלפון כבר אינו מוציא עדכונים, וזה המצב בחלק לא קטן ממכשירי אנדרואיד הוותיקים, אין גרסה שתסגור את זה. מה שנשאר בידיים שלכם הוא לצמצם את מה שהחולשה צריכה: התקינו רק מ-Google Play, מחקו אפליקציות שאינכם משתמשים בהן, והימנעו מהתקנה ידנית של קובצי APK.