Netīrās caurules labošana: Samsung ievieš Google kodu ātrāk nekā Google

Dirty Pipe ir viena no nopietnākajām Linux kodola ievainojamībām pēdējos gados. Kļūda ļauj nepievilinātam lietotājam pārrakstīt tikai lasāmus datus, kas var izraisīt privilēģiju eskalāciju. Kļūda tika novērsta 19. februārī, un tādām Linux versijām kā Unbuntu tika uzrakstīts ielāps, kas galalietotājiem tika izlaists aptuveni 17 dienu laikā. Android ir balstīta uz Linux, tāpēc arī Google un Android ražotājiem šī kļūda ir jānovērš.

Ir pagājis vesels mēnesis kopš Linux darbvirsmas izlaišanas, kā tad Android klājas?

Saskaņā ar laika grafiku , ko sniedza pētnieks, kurš atklāja ievainojamību, Makss Kellermans, Google 23. februārī izlaboja Dirty Pipe Android kodu bāzē. Taču Android ekosistēma ir ļoti slikta, nodrošinot lietotājiem atjauninātu kodu. Savā ziņā Android lēnums palīdzēja novērst šo ievainojamību. Kļūda parādījās operētājsistēmā Linux 5.8, kas tika izlaista 2020. gada augustā. Tātad, kāpēc pēdējo divu gadu laikā šī kļūda nav izplatījusies tālu un plaši visā Android ekosistēmā?

Linux atbalsts operētājsistēmā Android pieauga tikai no 5.4 uz 5.10, kad pirms sešiem mēnešiem tika izlaista Android 12, un Android tālruņi parasti nepāriet no galvenajām kodola versijām. Tikai jaunie tālruņi iegūst jaunāko kodolu, un pēc tam tie mēdz izmantot nelielus, ilgtermiņa atbalsta atjauninājumus, līdz tie tiek pārtraukti.

Lēnā Android kodola izlaišana nozīmē, ka kļūda ietekmē tikai jaunos 2022 tālruņus, ti, 5.10 kodola ierīces, piemēram, Google Pixel 6, Samsung Galaxy S22 un OnePlus 10 Pro. Ievainojamība jau ir pārvērsta par funkcionālu izmantošanu ar root tiesībām Pixel 6 un S22.

Uzņēmums neatbildēja uz mūsu (vai citiem) jautājumiem par to, kas notika ar ielāpu, taču ir saprātīgi sagaidīt, ka Pixel 6 līdz šim būs labots. Šis ir Google tālrunis ar Google mikroshēmu, kurā darbojas Google OS, tāpēc uzņēmumam vajadzētu būt iespējai ātri ieviest atjauninājumu. Pēc tam, kad labojums nonāca kodu bāzē februāra beigās, daudzi trešo pušu ROM, piemēram, GrapheneOS , varēja integrēt labojumu marta sākumā.

Izskatās, ka Samsung patiešām ir apsteidzis Google, izdodot ielāpu. Samsung savā drošības biļetenā uzskaita CVE-2022-0847 labojumus , norādot, ka labojums attiecas uz Galaxy S22. Samsung ievainojamības sadala Android kļūdās un Samsung kļūdās un ziņo, ka CVE-2022-0847 ir ietverts Google aprīļa Android drošības biļetenā, lai gan tā nav taisnība. Vai nu Samsung izvēlējās labojumu un nenorādīja to savā biļetenā, vai arī Google pēdējā brīdī noņēma labojumu no Pixel 6.

Pirms 40 dienām ielāps nokļuva Android pirmkoda krātuvē. Tagad, kad kļūda ir publiska un pieejama ikvienam, šķiet, ka Google ir jārīkojas ātrāk, lai nodrošinātu labojumu.