Google เตือนผู้ผลิตสมาร์ทโฟน Android จำเป็นต้องซ่อมแซมอุปกรณ์ให้ดีขึ้น
ในบล็อกโพสต์ (เปิดในแท็บใหม่) ที่เผยแพร่โดย Project Zero หน่วยงานด้านความปลอดภัยทางไซเบอร์ของ Google นักวิจัยอธิบายว่าจุดแข็งที่ยิ่งใหญ่ที่สุดของ Android การกระจายอำนาจของระบบนิเวศเป็นจุดอ่อนที่ยิ่งใหญ่ที่สุดเช่นกัน
เขากล่าวว่ากระบวนการแพตช์นั้นช้าเกินไป ยุ่งยาก และแยกส่วนเกินไป ทำให้ผู้บริโภคต้องเผชิญกับช่องโหว่ที่รู้จักซึ่งค่อนข้างง่ายต่อการถูกโจมตี
ปัญหาของการกระจายอำนาจ
Android แม้ว่าจะสร้างโดย Google แต่ใช้ Linux และเป็นโซลูชันโอเพ่นซอร์สเป็นหลัก ดังนั้นผู้ผลิตสมาร์ทโฟนบุคคลที่สาม เช่น Samsung, Oppo, LG และ OnePlus สามารถเป็นเจ้าของระบบปฏิบัติการเวอร์ชันของตนได้
ดังนั้นเมื่อ Google เผยแพร่แพตช์ จะต้องได้รับการวิเคราะห์และแก้ไขโดยผู้ผลิตก่อนจึงจะถูกส่งไปยังอุปกรณ์ ซึ่งหมายความว่าผู้ใช้ Android มีความเสี่ยงที่จะถูกโจมตีโดยมัลแวร์เป็นระยะเวลานาน
หากระยะเวลานี้นานเกินไปและ Google เผยแพร่รายละเอียดของช่องโหว่ อาชญากรไซเบอร์มีโอกาสพิเศษที่จะประนีประนอมอุปกรณ์ปลายทางโดยไม่ต้องค้นหาศูนย์วันใหม่
ในทางตรงกันข้าม Apple นำเสนอระบบนิเวศแบบปิดสำหรับอุปกรณ์ของตน บริษัทมีหน้าที่รับผิดชอบในการสร้างฮาร์ดแวร์และซอฟต์แวร์ส่วนใหญ่ ดังนั้นด้วยการอัปเดตอย่างแน่นหนาในการควบคุมของ Apple เมื่อใดก็ตามที่บริษัทออกโปรแกรมแก้ไข อุปกรณ์ส่วนใหญ่จะได้รับการอัปเดตอย่างรวดเร็ว
นี่คือสิ่งที่เกิดขึ้นกับ CVE-2021-39793 ซึ่งเป็นช่องโหว่ของไดรเวอร์ ARM Mali GPU ที่ใช้โดยอุปกรณ์ Android จำนวนมากที่ TechRadar Pro รายงานในเดือนพฤศจิกายน 2022
ทันทีที่ Google สรุปผลการตรวจสอบ Zero-day ในเดือนกรกฎาคม 2022 Google ได้รายงานการค้นพบนี้ไปยัง ARM ซึ่งจะแก้ไขในเดือนสิงหาคม 2022 สามสิบวันต่อมา Google ได้เปิดเผยการค้นพบต่อสาธารณะ
อย่างไรก็ตาม Google พบว่าอุปกรณ์ทดสอบทั้งหมดที่ใช้ Mali ยังคงมีความเสี่ยงต่อปัญหาดังกล่าว “CVE-2022-36449 ไม่ได้ถูกกล่าวถึงในกระดานข่าวด้านความปลอดภัยใดๆ ตามมา” เขากล่าวในขณะนั้น โดยหยิบยกประเด็นที่เขาเรียกว่า “patch gap”
"เช่นเดียวกับที่ผู้ใช้ได้รับการสนับสนุนให้แก้ไขโดยเร็วที่สุดเท่าที่เป็นไปได้เมื่อมีเวอร์ชันที่มีการอัปเดตความปลอดภัย ผู้จำหน่ายและบริษัทก็เช่นกัน" โพสต์ในบล็อกอ่าน
“การลด 'ช่องว่างของแพตช์' ในฐานะผู้จำหน่ายในสถานการณ์เหล่านี้มีความสำคัญมากกว่า เนื่องจากผู้ใช้ปลายทาง (หรือผู้จำหน่ายดาวน์สตรีมอื่นๆ) ปิดกั้นการกระทำนี้ก่อนที่พวกเขาจะได้รับประโยชน์ด้านความปลอดภัยของแพตช์"
“องค์กรต่างๆ ควรระมัดระวัง ติดตามแหล่งที่มาต้นทางอย่างใกล้ชิด และพยายามอย่างดีที่สุดเพื่อมอบโซลูชั่นที่สมบูรณ์แก่ผู้ใช้โดยเร็วที่สุด”