[[{"content_id":427353,"content_number":0,"portal_id":184,"lang_id":"fa","content_title":"آسیب پذیری که پس از گذشت سه سال همچنان میلیون ها دستگاه را تحت تأثیر خود قرار داده است","content_rtitr":"","content_short_title":null,"content_summary":"","content_summary_fill":0,"content_body":" \r\n\r\n\r\n \r\n\r\n\r\n\r\nامروزه ما در قرنی زندگی می‌کنیم که تحولات علمی و تکنولوژی در آن بسیار سریع رخ می‌دهد. از ورود رایانه به عرصه‌های فناوری گرفته که در پی آن روند ارتباطات را بسیار آسان نموده است، تا پدیده اینترنت که به‌ وسیله آن جهان ما را، به دهکده‌ای کوچک تبدیل کرده است.\r\n\r\n\r\n \r\n\r\nآسیب‌پذیری که پس از گذشت سه سال همچنان میلیون‌ها دستگاه را تحت تأثیر خود قرار داده است\r\n\r\n \r\n\r\n \r\n\r\n \r\n\r\n  امروزه ما در قرنی زندگی می‌کنیم که تحولات علمی و تکنولوژی در آن بسیار سریع رخ می‌دهد. از ورود رایانه به عرصه‌های فناوری گرفته که در پی آن روند ارتباطات را بسیار آسان نموده است، تا پدیده اینترنت که به‌ وسیله آن جهان ما را، به دهکده‌ای کوچک تبدیل کرده است. در این تحولات علاوه بر مزایا و فرصت‌هایی که برای جوامع انسانی فراهم‌شده است، همواره ترس سوءاستفاده‌ از اشخاص نیز به ‌موازات آن وجود خواهد داشت. در محیط‌های چندرسانه‌ای امروزی درواقع بافتی معنایی و چند ساختی شکل‌گرفته که نمایی از فرهنگ‌های متنوع کشورهای مختلف را نشان می‌دهد. در حوزه فرهنگی و در بافت ابر متنی، نمایی از گذشته، حال و آینده با یکدیگر پیوند خورده‌اند و حاصل این پیوند یک محیط نمادین جدید را به وجود آورده است که در آن دنیای مجازی به واقعیت محیط زندگی ما بدل شده است. این دنیای مجازی با کمک فناوری اینترنت تغییرات مهمی را در زندگی افراد ایجاد نموده است که از بعد اجتماعی مانند ارتباط افراد با یکدیگر گرفته، تا بعد اقتصادی آن همچون تجارت، خدمات بانکی و سایر ابعاد آن می‌توان اشاره نمود و جهان کنونی ما را به دهکده‌ای کوچک تبدیل کرده است. به همین جهت این روزها شاهد گسترش استفاده از اینترنت در بین افراد هستیم. اما نکته‌ای که وجود دارد این است که فناوری اینترنت مختص انسان‌ها نیست بلکه اشیاء اطراف ما نیز قابلیت استفاده از آن و ارتباط با یکدیگر را دارند!\r\n\r\nعبارت اینترنت اشیاء یا (IoT)، برای نخستین بار در سال 1999 توسط کوین اشتون مورداستفاده قرار گرفت و جهانی را توصیف کرد که در آن هر چیزی، ازجمله اشیاء بی‌جان، برای خود هویت دیجیتال داشته باشند و به کامپیوترها اجازه دهند آن‌ها را سازمان‌دهی و مدیریت کنند.\r\n\r\nساده‌ترین و قابل‌درک‌ترین مثالی که می‌توان زد، ترموستات nest است. شما با استفاده از این ترموستات می‌توانید با گوشی هوشمند خود دمای منزل خود را کنترل کنید و یکی از جالب‌ترین نکات این است که این ترموستات می‌تواند زمان خواب شما را یاد بگیرد و زمانی که شما خواب هستید دما را با توجه به دمایی که شما دوست دارید تنظیم کند، پس دیگر نیازی به نگرانی نیست که نیمه‌شب هوای خانه شما گرم یا سرد شود. این ترموستات تمام شب بیدار است! امروزه از این قبیل حس‌گرها برای سیستم روشنایی منازل نیز مورد استفاده قرار می‌گیرد و موارد زیادی از این قبیل. با این اوصاف زندگی بسیار ساده و شیرین می‌شود تنها کافی است که ما برنامه‌های کاربردی برای کنترل اشیاء اطراف خود را بر روی گوشی هوشمند و یا تبلت خود نصب کنیم و اشیاء اطراف خود را با یکدیگر مرتبط سازیم و به تماشای برنامه موردعلاقه خود در تلویزیون بنشینیم و باقی کارها را خود اشیاء اطراف ما انجام می‌دهند؛ اما آیا این آسودگی خاطر همیشگی است؟ آیا نباید نگران حریم خصوصی خود باشیم؟ و یا نگران سرقت اطلاعات شخصی خود و یا هزاران نگرانی دیگر که مربوط به همین ارتباطات بی‌سیم بین اشیاء خواهند بود.\r\n\r\n \r\n\r\n \r\n\r\n  \r\n\r\n \r\n\r\nبه همان اندازه که ما نسبت به دستگاه‌های الکترونیکی خود نگران هستیم که مبادا آن‌ها هک شوند و اطلاعات ما به دست هکرها بیافتند، هکرها نیز به دنبال راه‌هایی جدید برای دستیابی به اطلاعات موجود در دستگاه‌های ما هستند. این نگرانی تا زمانی به حقیقت می‌انجامد که دستگاه‌های ما هک شوند و زمانی که این جریان دسترسی به دستگاه ما رخ داد ما باید امیدوار باشیم که راهکاری برای مقابله با آن در طی چند روز و یا چند هفته پیدا شود که متأسفانه همیشه شرایط به این خوبی پیش نمی‌رود و برای این‌گونه نفوذها راهکاری مناسب ارائه نمی‌شود.\r\n\r\n \r\n\r\n \r\n\r\n6.1 میلیون دستگاه ازجمله گوشی‌های هوشمند، روترها، تلویزیون‌های هوشمند، هم‌اکنون در خطر حملات اجرای کد از راه دور (RCE) به دلیل آسیب‌پذیری ایجاد شده قرار دارند و تولیدکنندگان این دستگاه‌ها راهکاری برای مقابله با این آسیب‌پذیری ارائه نکرده‌اند و محصولاتشان در معرض ریسک قرارگرفته است. این آسیب‌پذیری در SDK های قابل‌حمل بر روی دستگاه‌هایUPnP وجود دارند که به آن‌ها libupnp نیز می‌گویند (UPnP به مجموعه‌ای از پروتکل‌های شبکه می‌گویند که به دستگاه‌های آن شبکه اجازه اتصال و ارتباط با یکدیگر را بدون دخالت انسان می‌دهند). این کتابخانه ویژه برای پیاده‌سازی بازپخش رسانه‌ای یا (DLNA) مورداستفاده قرار می‌گیرد. برنامه‌های کاربردی موجود درگوشی‌های هوشمند می‌توانند از این ویژگی‌ها برای اجرای فایل‌های رسانه‌ای و یا ارتباط دیگر دستگاه‌ها از طریق شبکه خانگی شخصی مورد استفاده قرار گیرند.\r\n\r\n \r\n\r\n این نوع از آسیب‌پذیری در واقع در آذر ماه سال 91 برطرف شده بود اما بسیاری از برنامه‌های کاربردی همچنان از نسخه‌های قدیمی SDK که دارای آسیب‌پذیری است استفاده می‌کنند. بر اساس گزارش‌های به‌ دست ‌آمده از Trend Micro، 547 برنامه کاربردی که از نسخه‌های قدیمی libupnp استفاده می‌کردند، 326 نمونه از آن‌ها در فروشگاه معتبر Google Play یافت شده‌اند که به برنامه‌های کاربردی محبوبی چون Netflix و QQMusic می‌توان اشاره کرد که از برنامه‌های پرکاربرد در بین کاربران هستند و میلیون‌ها کاربر از این برنامه‌ها استفاده می‌کنند و در معرض خطر ذکرشده قرار دارند.\r\n\r\nنحوه کارکرد این آسیب‌پذیری\r\n\r\nاین آسیب‌پذیری در چگونگی بهره‌گیری کتابخانه libupnp در استفاده از بسته‌های پروتکل (SSDP)، اطلاعات نادرستی را بیان می‌دارد. پروتکل (SSDP) بخشی از استاندارد (UPnP) است و در اجرای این فرآیند به دلیل این آسیب‌پذیری سرریز بافر روی می‌دهد و منجر می‌شود تا پورت 1900 از نوع UDP باز شود که به‌صورت بالقوه به هکرها اجازه می‌دهد تا کنترل کاملی بر روی دستگاه حاوی این آسیب‌پذیری داشته باشند.\r\n\r\n \r\n\r\n \r\n\r\n  \r\n\r\n ساخت یک بسته ویژه می‌تواند منجر به سرریز بافر گردد. در کد زیر بافر TempBuf می‌تواند سرریز کند و کرش اتفاق بیافتد.\r\n\r\n \r\n\r\n \r\n\r\n \r\n\r\n \r\n\r\n   در اینجا یک لیست از برنامه‌های کاربردی برگرفته از Trend Micro را که از فعال‌سازی آسیب‌پذیری موجود در کتابخانهlibupnp استفاده می‌کنند قابل مشاهده است:\r\n\r\n \r\n\r\n \r\n\r\n\r\n\t\r\n\t\t\r\n\t\t\t\r\n\t\t\tنام مستعار برنامه کاربردی\r\n\t\t\t\r\n\t\t\t\r\n\t\t\tنام بسته\r\n\t\t\t\r\n\t\t\r\n\t\t\r\n\t\t\t\r\n\t\t\tAirSmartPlayer\r\n\t\t\t\r\n\t\t\t\r\n\t\t\tcom.gk.airsmart.main\r\n\t\t\t\r\n\t\t\r\n\t\t\r\n\t\t\t\r\n\t\t\tBig2Small\r\n\t\t\t\r\n\t\t\t\r\n\t\t\tcom.alitech.dvbtoip\r\n\t\t\t\r\n\t\t\r\n\t\t\r\n\t\t\t\r\n\t\t\t \r\n\r\n\t\t\tCameraAccess plus\r\n\t\t\t\r\n\t\t\t\r\n\t\t\tjp.co.pixela.cameraaccessplus\r\n\t\t\t\r\n\t\t\r\n\t\t\r\n\t\t\t\r\n\t\t\t \r\n\r\n\t\t\tG-MScreen\r\n\t\t\t\r\n\t\t\t\r\n\t\t\tmktvsmart.screen\r\n\t\t\t\r\n\t\t\r\n\t\t\r\n\t\t\t\r\n\t\t\t \r\n\r\n\t\t\tHexLink Remote (TV client)\r\n\t\t\t\r\n\t\t\t\r\n\t\t\thihex.sbrc.services\r\n\t\t\t\r\n\t\t\r\n\t\t\r\n\t\t\t\r\n\t\t\t \r\n\r\n\t\t\tHexLink-SmartTV remote control\r\n\t\t\t\r\n\t\t\t\r\n\t\t\tcom.hihex.hexlink\r\n\t\t\t\r\n\t\t\r\n\t\t\r\n\t\t\t\r\n\t\t\t \r\n\r\n\t\t\tHisense Android TV Remote\r\n\t\t\t\r\n\t\t\t\r\n\t\t\tcom.hisense.commonremote\r\n\t\t\t\r\n\t\t\r\n\t\t\r\n\t\t\t\r\n\t\t\t \r\n\r\n\t\t\tNetflix\r\n\t\t\t\r\n\t\t\t\r\n\t\t\tcom.netflix.mediaclient\r\n\t\t\t\r\n\t\t\r\n\t\t\r\n\t\t\t\r\n\t\t\t \r\n\r\n\t\t\tnScreen Mirroring for Samsung\r\n\t\t\t\r\n\t\t\t\r\n\t\t\tcom.ht.nscreen.mirroring\r\n\t\t\t\r\n\t\t\r\n\t\t\r\n\t\t\t\r\n\t\t\t \r\n\r\n\t\t\tOoredoo TV Oman\r\n\t\t\t\r\n\t\t\t\r\n\t\t\tcom.ooredootv.ooredoo\r\n\t\t\t\r\n\t\t\r\n\t\t\r\n\t\t\t\r\n\t\t\t \r\n\r\n\t\t\tPictPrint – WiFi Print App –\r\n\t\t\t\r\n\t\t\t\r\n\t\t\tjp.co.tandem.pictprint\r\n\t\t\t\r\n\t\t\r\n\t\t\r\n\t\t\t\r\n\t\t\t \r\n\r\n\t\t\tqa.MozaicGO.Android\r\n\t\t\t\r\n\t\t\t\r\n\t\t\tMozaic GO\r\n\t\t\t\r\n\t\t\r\n\t\t\r\n\t\t\t\r\n\t\t\t \r\n\r\n\t\t\tQQMusic\r\n\t\t\t\r\n\t\t\t\r\n\t\t\tcom.tencent.qqmusic\r\n\t\t\t\r\n\t\t\r\n\t\t\r\n\t\t\t\r\n\t\t\t \r\n\r\n\t\t\tSmart TV Remote\r\n\t\t\t\r\n\t\t\t\r\n\t\t\tcom.hisense.common\r\n\t\t\t\r\n\t\t\r\n\t\t\r\n\t\t\t\r\n\t\t\t \r\n\r\n\t\t\tWifi Entertainment\r\n\t\t\t\r\n\t\t\t\r\n\t\t\tcom.infogo.entertainment.wifi\r\n\t\t\t\r\n\t\t\r\n\t\r\n\r\n\r\n \r\n\r\n \r\n\r\nبیشترین برنامه کاربردی که متأثر از این نقص است QQMusic است که به‌تنهایی توسط 100 میلیون نفر از مردم چین مورد استفاده قرارگرفته است و همچنان به‌وسیله میلیون‌ها نفر از فروشگاه Google Play دانلود می‌شود. برنامه کاربردی Netflix نیز متأثر از این نقص بوده و توسط میلیون‌ها نفر دانلود شده است. «برای شفاف‌سازی بیشتر در مورد برنامه کاربردی Netflix باید اشاره کرد که این برنامه از کتابخانه شخصی‌سازی‌شده خود از libupnp استفاده می‌کند. اگرچه این شخصی‌سازی دربردارنده اصلاحاتی از نسخه‌های جدید libupnp است، اما ما معتقدیم که به‌صورت بالقوه این نوع آسیب‌پذیری نمی‌تواند به‌عنوان هدفی برای حملات اجرای کد از راه دور باشد.» برنامه کاربردی Netflix یکی از محبوب‌ترین برنامه‌های اندروید است و توانایی همگام‌سازی با PlayStation 3 را دارد و به شما این اجازه را می‌دهد تا از گوشی هوشمند و یا تبلت خود به‌عنوان کنترل‌کنندهNetflix استفاده کنید. دیگر برنامه‌های کاربردی محبوب که از نسخه‌های تاریخ گذشته کتابخانه استفاده می‌کنند nScreen Mirroring برای Samsung، CameraAccess Plus و Smart TV Remote هستند.\r\n\r\nراهکارهای پیشگیرانه\r\n\r\nدر انتخاب ابزارهای خود و نصب برنامه‌های کاربردی وسواس داشته باشید. برای برنامه‌های کاربردی موردنظر خود قبل از اینکه آن را نصب نمایید کمی تحقیق کنید. مجوزهایی که آن‌ها نیاز دارند را بررسی کنید. اگر مجوز موردنیاز آن بیشتر از آن چیزی است که نیازمندی‌هایش را برطرف کند این برنامه را نصب نکنید، زیرا ممکن است این برنامه یک تروجان باشد و یا حاوی کدهای مخرب در بسته‌های خود باشد.\r\n\r\n واسط‌هایی را که در حال حاضر از آن‌ها استفاده نمی‌کنید همچون Bluetooth، Infrared و یا Wi-Fi را غیرفعال سازید. مهاجمان توانایی سوءاستفاده از نرم‌افزارهای دارای آسیب‌پذیری که از این واسط‌ها بهره می‌برند را دارند.\r\n\r\nدستگاه‌هایی که دارای فناوری Bluetooth هستند را به هنگام فعال‌سازی Bluetooth آن‌ها، در حالت مخفی یاnon-discoverable قرار دهید. در حالت نمایش برای همه، دستگاه‌هایی که بلوتوث آن‌ها فعال باشند قابلیت شناسایی توسط دیگر دستگاه‌های اطراف خود را دارند. این کار باعث می‌شود شما به‌عنوان یک هدف برای مهاجمان شناسایی شوید.\r\n\r\nاز اتصال به شبکه‌های Wi-Fi ناشناس خودداری کنید. مهاجمان توانایی ایجاد یک نقطه دسترسی تلفنی بی‌سیم را دارند که طراحی‌شده تا به ‌وسیله آن به گوشی‌های هوشمند یا سایر دستگاه‌ها حمله کنند. همچنین برای شبکه Wi-Fi خانگی خود یک گذرواژه قوی انتخاب نمایید.\r\n\r\nراهکار مقابله\r\n\r\n\r\n\t اگرچه تولیدکنندگان برنامه‌های کاربردی ازجمله QQMusic و Netflix مفاهیم و اصلاحیه‌هایی را برای برنامه‌های موردنظر منتشر کرده‌اند اما بهتر است کاربران دستگاه‌های خود را بازبینی نموده و اگر یکی از انواع برنامه‌های کاربردی ذکرشده در لیست بالا را در دستگاه خود کشف کردند به‌ سادگی می‌توانند آن را حذف نمایند و یا برای بروز رسانی آن اقدام نمایند.\r\n\t برای پاک کردن برنامه کاربردی به قسمت Setting گوشی وارد شده و از بخش مدیریت برنامه‌ها(Manage)  اقدام به حذف این برنامه با فشردن گزینه Uninstall نمایید. اگر تهدید بعد از آخرین پاک‌سازی برنامه از روی دستگاه دوباره ظاهر شد بدان معنی است که بدافزار موفق به نصب ماژول تداوم در مسیر سیستم شده است در این مورد دستگاه باید دوباره با یک ROM رسمی فلش شده و یا به تنظیمات اولیه کارخانه در صورت عدم تخریب آن توسط بدافزار، بازگردد.\r\n\tاستفاده از ضدویروس‌هایی که بروز باشند و قابلیت شناسایی و حذف این بدافزارها را از دستگاه قربانی را داشته باشند.\r\n\r\n\r\n \r\n\r\n \r\n\r\n \r\n\r\nمنابع\r\n\r\nhttp:\/\/thehackernews.com\/2015\/12\/iot-mobile-security.html\r\n\r\nhttp:\/\/blog.trendmicro.com\/trendlabs-security-intelligence\/high-profile-mobile-apps-at-risk-due-to-three-year-old-vulnerability\/#\r\n\r\nhttps:\/\/en.wikipedia.org\/wiki\/Universal_Plug_and_Play\r\n\r\nhttps:\/\/en.wikipedia.org\/wiki\/Universal_Plug_and_Play\r\n\r\nhttp:\/\/pupnp.sourceforge.net\/\r\n\r\nhttps:\/\/en.wikipedia.org\/wiki\/Digital_Living_Network_Alliance\r\n\r\nhttps:\/\/en.wikipedia.org\/wiki\/Simple_Service_Discovery_Protocol\r\n\r\nhttps:\/\/help.netflix.com\/en\/node\/2331\r\n\r\nhttps:\/\/en.wikipedia.org\/wiki\/Hotspot\r\n\r\nhttp:\/\/www.us-cert.gov\/cas\/tips\/ST05-003.html\r\n\r\n \r\n\r\n ","content_html":"
\n
\n
 <\/div>\n<\/div>\n\n
 <\/div>\n<\/div>\n\n
\n
امروزه ما در قرنی زندگی می کنیم که تحولات علمی و تکنولوژی در آن بسیار سریع رخ می دهد. از ورود رایانه به عرصه های فناوری گرفته که در پی آن روند ارتباطات را بسیار آسان نموده است، تا پدیده اینترنت که به وسیله آن جهان ما را، به دهکده ای کوچک تبدیل کرده است.<\/div>\n\n
\n

 <\/p>\n\n

آسیب پذیری که پس از گذشت سه سال همچنان میلیون ها دستگاه را تحت تأثیر خود قرار داده است<\/p>\n\n

 <\/p>\n\n

 <\/p>\n\n

\"\" <\/p>\n\n

  امروزه ما در قرنی زندگی می کنیم که تحولات علمی و تکنولوژی در آن بسیار سریع رخ می دهد. از ورود رایانه به عرصه های فناوری گرفته که در پی آن روند ارتباطات را بسیار آسان نموده است، تا پدیده اینترنت که به وسیله آن جهان ما را، به دهکده ای کوچک تبدیل کرده است. در این تحولات علاوه بر مزایا و فرصت هایی که برای جوامع انسانی فراهم شده است، همواره ترس سوءاستفاده از اشخاص نیز به موازات آن وجود خواهد داشت. در محیط های چندرسانه ای امروزی درواقع بافتی معنایی و چند ساختی شکل گرفته که نمایی از فرهنگ های متنوع کشورهای مختلف را نشان می دهد. در حوزه فرهنگی و در بافت ابر متنی، نمایی از گذشته، حال و آینده با یکدیگر پیوند خورده اند و حاصل این پیوند یک محیط نمادین جدید را به وجود آورده است که در آن دنیای مجازی به واقعیت محیط زندگی ما بدل شده است. این دنیای مجازی با کمک فناوری اینترنت تغییرات مهمی را در زندگی افراد ایجاد نموده است که از بعد اجتماعی مانند ارتباط افراد با یکدیگر گرفته، تا بعد اقتصادی آن همچون تجارت، خدمات بانکی و سایر ابعاد آن می توان اشاره نمود و جهان کنونی ما را به دهکده ای کوچک تبدیل کرده است. به همین جهت این روزها شاهد گسترش استفاده از اینترنت در بین افراد هستیم. اما نکته ای که وجود دارد این است که فناوری اینترنت مختص انسان ها نیست بلکه اشیاء اطراف ما نیز قابلیت استفاده از آن و ارتباط با یکدیگر را دارند!<\/p>\n\n

عبارت اینترنت اشیاء<\/u><\/strong> یا (IoT<\/span>)، برای نخستین بار در سال 1999 توسط کوین اشتون مورداستفاده قرار گرفت و جهانی را توصیف کرد که در آن هر چیزی، ازجمله اشیاء بی جان، برای خود هویت دیجیتال داشته باشند و به کامپیوترها اجازه دهند آن ها را سازمان دهی و مدیریت کنند.<\/p>\n\n

ساده ترین و قابل درک ترین مثالی که می توان زد، ترموستات nest<\/span> است. شما با استفاده از این ترموستات می توانید با گوشی هوشمند خود دمای منزل خود را کنترل کنید و یکی از جالب ترین نکات این است که این ترموستات می تواند زمان خواب شما را یاد بگیرد و زمانی که شما خواب هستید دما را با توجه به دمایی که شما دوست دارید تنظیم کند، پس دیگر نیازی به نگرانی نیست که نیمه شب هوای خانه شما گرم یا سرد شود. این ترموستات تمام شب بیدار است! امروزه از این قبیل حس گرها برای سیستم روشنایی منازل نیز مورد استفاده قرار می گیرد و موارد زیادی از این قبیل. با این اوصاف زندگی بسیار ساده و شیرین می شود تنها کافی است که ما برنامه های کاربردی برای کنترل اشیاء اطراف خود را بر روی گوشی هوشمند و یا تبلت خود نصب کنیم و اشیاء اطراف خود را با یکدیگر مرتبط سازیم و به تماشای برنامه موردعلاقه خود در تلویزیون بنشینیم و باقی کارها را خود اشیاء اطراف ما انجام می دهند؛ اما آیا این آسودگی خاطر همیشگی است؟ آیا نباید نگران حریم خصوصی خود باشیم؟ و یا نگران سرقت اطلاعات شخصی خود و یا هزاران نگرانی دیگر که مربوط به همین ارتباطات بی سیم بین اشیاء خواهند بود.<\/p>\n\n

 <\/p>\n\n

 <\/p>\n\n

  \"\"<\/p>\n\n

 <\/p>\n\n

به همان اندازه که ما نسبت به دستگاه های الکترونیکی خود نگران هستیم که مبادا آن ها هک شوند و اطلاعات ما به دست هکرها بیافتند، هکرها نیز به دنبال راه هایی جدید برای دستیابی به اطلاعات موجود در دستگاه های ما هستند. این نگرانی تا زمانی به حقیقت می انجامد که دستگاه های ما هک شوند و زمانی که این جریان دسترسی به دستگاه ما رخ داد ما باید امیدوار باشیم که راهکاری برای مقابله با آن در طی چند روز و یا چند هفته پیدا شود که متأسفانه همیشه شرایط به این خوبی پیش نمی رود و برای این گونه نفوذها راهکاری مناسب ارائه نمی شود.<\/p>\n\n

 <\/p>\n\n

 <\/p>\n\n

6.1 میلیون دستگاه ازجمله گوشی های هوشمند، روترها، تلویزیون های هوشمند، هم اکنون در خطر حملات اجرای کد از راه دور (RCE<\/span>) به دلیل آسیب پذیری ایجاد شده قرار دارند و تولیدکنندگان این دستگاه ها راهکاری برای مقابله با این آسیب پذیری ارائه نکرده اند و محصولاتشان در معرض ریسک قرارگرفته است. این آسیب پذیری در SDK<\/span> های قابل حمل بر روی دستگاه هایUPnP<\/span><\/a> وجود دارند که به آن ها libupnp<\/span><\/a> نیز می گویند (UPnP<\/span> به مجموعه ای از پروتکل های شبکه می گویند که به دستگاه های آن شبکه اجازه اتصال و ارتباط با یکدیگر را بدون دخالت انسان می دهند). این کتابخانه ویژه برای پیاده سازی بازپخش رسانه ای یا (DLNA<\/span><\/a>) مورداستفاده قرار می گیرد. برنامه های کاربردی موجود درگوشی های هوشمند می توانند از این ویژگی ها برای اجرای فایل های رسانه ای و یا ارتباط دیگر دستگاه ها از طریق شبکه خانگی شخصی مورد استفاده قرار گیرند.<\/p>\n\n

 <\/p>\n\n

 این نوع از آسیب پذیری در واقع در آذر ماه سال 91 برطرف شده بود اما بسیاری از برنامه های کاربردی همچنان از نسخه های قدیمی SDK<\/span> که دارای آسیب پذیری است استفاده می کنند. بر اساس گزارش های به دست آمده از Trend Micro<\/span>، 547 برنامه کاربردی که از نسخه های قدیمی libupnp<\/span> استفاده می کردند، 326 نمونه از آن ها در فروشگاه معتبر Google Play<\/span> یافت شده اند که به برنامه های کاربردی محبوبی چون Netflix<\/span> و QQMusic<\/span> می توان اشاره کرد که از برنامه های پرکاربرد در بین کاربران هستند و میلیون ها کاربر از این برنامه ها استفاده می کنند و در معرض خطر ذکرشده قرار دارند.<\/p>\n\n

نحوه کارکرد این آسیب پذیری<\/strong><\/p>\n\n

این آسیب پذیری در چگونگی بهره گیری کتابخانه libupnp<\/span> در استفاده از بسته های پروتکل (SSDP<\/span><\/a>)، اطلاعات نادرستی را بیان می دارد. پروتکل (SSDP<\/span>) بخشی از استاندارد (UPnP<\/span>) است و در اجرای این فرآیند به دلیل این آسیب پذیری سرریز بافر روی می دهد و منجر می شود تا پورت 1900 از نوع UDP<\/span> باز شود که به صورت بالقوه به هکرها اجازه می دهد تا کنترل کاملی بر روی دستگاه حاوی این آسیب پذیری داشته باشند.<\/p>\n\n

 <\/p>\n\n

 <\/p>\n\n

  \"\"<\/p>\n\n

 ساخت یک بسته ویژه می تواند منجر به سرریز بافر گردد. در کد زیر بافر TempBuf<\/span> می تواند سرریز کند و کرش اتفاق بیافتد.<\/p>\n\n

 <\/p>\n\n

 <\/p>\n\n

 <\/p>\n\n

 \"\"<\/p>\n\n

   در اینجا یک لیست از برنامه های کاربردی برگرفته از Trend Micro<\/span> را که از فعال سازی آسیب پذیری موجود در کتابخانهlibupnp<\/span> استفاده می کنند قابل مشاهده است:<\/p>\n\n

 <\/p>\n\n

 <\/p>\n\n
\n\t\t\t

نام مستعار برنامه کاربردی<\/strong><\/p>\n\t\t\t<\/td>\n\t\t\t

\n\t\t\t

نام بسته<\/strong><\/p>\n\t\t\t<\/td>\n\t\t<\/tr>

\n\t\t\t

AirSmartPlayer<\/span><\/strong><\/p>\n\t\t\t<\/td>\n\t\t\t

\n\t\t\t

com.gk.airsmart.main<\/span><\/p>\n\t\t\t<\/td>\n\t\t<\/tr>

\n\t\t\t

Big2Small<\/span><\/strong><\/p>\n\t\t\t<\/td>\n\t\t\t

\n\t\t\t

com.alitech.dvbtoip<\/span><\/p>\n\t\t\t<\/td>\n\t\t<\/tr>

\n\t\t\t

 <\/p>\n\n\t\t\t

CameraAccess plus<\/span><\/strong><\/p>\n\t\t\t<\/td>\n\t\t\t

\n\t\t\t

jp.co.pixela.cameraaccessplus<\/span><\/p>\n\t\t\t<\/td>\n\t\t<\/tr>

\n\t\t\t

 <\/p>\n\n\t\t\t

G-MScreen<\/span><\/strong><\/p>\n\t\t\t<\/td>\n\t\t\t

\n\t\t\t

mktvsmart.screen<\/span><\/p>\n\t\t\t<\/td>\n\t\t<\/tr>

\n\t\t\t

 <\/p>\n\n\t\t\t

HexLink Remote (TV client)<\/span><\/strong><\/p>\n\t\t\t<\/td>\n\t\t\t

\n\t\t\t

hihex.sbrc.services<\/span><\/p>\n\t\t\t<\/td>\n\t\t<\/tr>

\n\t\t\t

 <\/p>\n\n\t\t\t

HexLink-SmartTV remote control<\/span><\/strong><\/p>\n\t\t\t<\/td>\n\t\t\t

\n\t\t\t

com.hihex.hexlink<\/span><\/p>\n\t\t\t<\/td>\n\t\t<\/tr>

\n\t\t\t

 <\/p>\n\n\t\t\t

Hisense Android TV Remote<\/span><\/strong><\/p>\n\t\t\t<\/td>\n\t\t\t

\n\t\t\t

com.hisense.commonremote<\/span><\/p>\n\t\t\t<\/td>\n\t\t<\/tr>

\n\t\t\t

 <\/p>\n\n\t\t\t

Netflix<\/span><\/strong><\/p>\n\t\t\t<\/td>\n\t\t\t

\n\t\t\t

com.netflix.mediaclient<\/span><\/p>\n\t\t\t<\/td>\n\t\t<\/tr>

\n\t\t\t

 <\/p>\n\n\t\t\t

nScreen Mirroring for Samsung<\/span><\/strong><\/p>\n\t\t\t<\/td>\n\t\t\t

\n\t\t\t

com.ht.nscreen.mirroring<\/span><\/p>\n\t\t\t<\/td>\n\t\t<\/tr>

\n\t\t\t

 <\/p>\n\n\t\t\t

Ooredoo TV Oman<\/span><\/strong><\/p>\n\t\t\t<\/td>\n\t\t\t

\n\t\t\t

com.ooredootv.ooredoo<\/span><\/p>\n\t\t\t<\/td>\n\t\t<\/tr>

\n\t\t\t

 <\/p>\n\n\t\t\t

PictPrint – WiFi Print App –<\/span><\/strong><\/p>\n\t\t\t<\/td>\n\t\t\t

\n\t\t\t

jp.co.tandem.pictprint<\/span><\/p>\n\t\t\t<\/td>\n\t\t<\/tr>

\n\t\t\t

 <\/p>\n\n\t\t\t

qa.MozaicGO.Android<\/span><\/strong><\/p>\n\t\t\t<\/td>\n\t\t\t

\n\t\t\t

Mozaic GO<\/span><\/p>\n\t\t\t<\/td>\n\t\t<\/tr>

\n\t\t\t

 <\/p>\n\n\t\t\t

QQMusic<\/span><\/strong><\/p>\n\t\t\t<\/td>\n\t\t\t

\n\t\t\t

com.tencent.qqmusic<\/span><\/p>\n\t\t\t<\/td>\n\t\t<\/tr>

\n\t\t\t

 <\/p>\n\n\t\t\t

Smart TV Remote<\/span><\/strong><\/p>\n\t\t\t<\/td>\n\t\t\t

\n\t\t\t

com.hisense.common<\/span><\/p>\n\t\t\t<\/td>\n\t\t<\/tr>

\n\t\t\t

 <\/p>\n\n\t\t\t

Wifi Entertainment<\/span><\/strong><\/p>\n\t\t\t<\/td>\n\t\t\t

\n\t\t\t

com.infogo.entertainment.wifi<\/span><\/p>\n\t\t\t<\/td>\n\t\t<\/tr><\/tbody><\/table>

 <\/div>\n\n

 <\/p>\n\n

بیشترین برنامه کاربردی که متأثر از این نقص است QQMusic<\/span> است که به تنهایی توسط 100 میلیون نفر از مردم چین مورد استفاده قرارگرفته است و همچنان به وسیله میلیون ها نفر از فروشگاه Google Play<\/span> دانلود می شود. برنامه کاربردی Netflix<\/span> نیز متأثر از این نقص بوده و توسط میلیون ها نفر دانلود شده است. «برای شفاف سازی بیشتر در مورد برنامه کاربردی Netflix<\/span> باید اشاره کرد که این برنامه از کتابخانه شخصی سازی شده خود از libupnp<\/span> استفاده می کند. اگرچه این شخصی سازی دربردارنده اصلاحاتی از نسخه های جدید libupnp<\/span> است، اما ما معتقدیم که به صورت بالقوه این نوع آسیب پذیری نمی تواند به عنوان هدفی برای حملات اجرای کد از راه دور باشد.» برنامه کاربردی Netflix<\/span> یکی از محبوب ترین برنامه های اندروید است و توانایی همگام سازی با PlayStation 3<\/span><\/a> را دارد و به شما این اجازه را می دهد تا از گوشی هوشمند و یا تبلت خود به عنوان کنترل کنندهNetflix<\/span> استفاده کنید. دیگر برنامه های کاربردی محبوب که از نسخه های تاریخ گذشته کتابخانه استفاده می کنند nScreen Mirroring<\/span> برای Samsung<\/span>، CameraAccess Plus<\/span> و Smart TV Remote<\/span> هستند.<\/p>\n\n

راهکارهای پیشگیرانه<\/strong><\/p>\n\n

در انتخاب ابزارهای خود و نصب برنامه های کاربردی وسواس داشته باشید. <\/strong>برای برنامه های کاربردی موردنظر خود قبل از اینکه آن را نصب نمایید کمی تحقیق کنید. مجوزهایی که آن ها نیاز دارند را بررسی کنید. اگر مجوز موردنیاز آن بیشتر از آن چیزی است که نیازمندی هایش را برطرف کند این برنامه را نصب نکنید، زیرا ممکن است این برنامه یک تروجان باشد و یا حاوی کدهای مخرب در بسته های خود باشد.<\/p>\n\n

 واسط هایی را که در حال حاضر از آن ها استفاده نمی کنید همچون <\/strong>Bluetooth<\/span><\/strong>، <\/strong>Infrared<\/span><\/strong> و یا <\/strong>Wi-Fi<\/span><\/strong> را غیرفعال سازید. <\/strong>مهاجمان توانایی سوءاستفاده از نرم افزارهای دارای آسیب پذیری که از این واسط ها بهره می برند را دارند.<\/p>\n\n

دستگاه هایی که دارای فناوری <\/strong>Bluetooth<\/span><\/strong> هستند را به هنگام فعال سازی <\/strong>Bluetooth<\/span><\/strong> آن ها، در حالت مخفی یا<\/strong>non-discoverable<\/span><\/strong> قرار دهید. <\/strong>در حالت نمایش برای همه، دستگاه هایی که بلوتوث آن ها فعال باشند قابلیت شناسایی توسط دیگر دستگاه های اطراف خود را دارند. این کار باعث می شود شما به عنوان یک هدف برای مهاجمان شناسایی شوید.<\/p>\n\n

از اتصال به شبکه های <\/strong>Wi-Fi<\/span><\/strong> ناشناس خودداری کنید.<\/strong> مهاجمان توانایی ایجاد یک نقطه دسترسی<\/a> تلفنی بی سیم را دارند که طراحی شده تا به وسیله آن به گوشی های هوشمند یا سایر دستگاه ها حمله کنند. همچنین برای شبکه Wi-Fi<\/span> خانگی خود یک گذرواژه قوی انتخاب نمایید.<\/p>\n\n

راهکار مقابله<\/strong><\/p>\n\n