Stagefright hiçbir zaman kaybolmayacakmış gibi görünen bir açık olma yolunda ilerliyor. İlk olarak geçtiğimiz temmuz ayında keşfedilen bu saldırı Android’in multimedya ön izleme işlevindeki bir zayıflıktan faydalanarak Android telefonlarını yazılı mesaj veya SMS üzerinden hedef alıyordu.
Google, üreticiler ve mobil operatörler bu hatayı kapatmak için epey mücadele etmişlerdi, ancak bundan iki hafta sonra bir başka hata çıkmış, onun için de başka bir yama dizisi daha sunmak gerekmişti. Şimdiyse Stagefright açığı ortaya çıktıktan üç ay sonra yeniden karşımıza çıkıyor.
Yeni açık zararlı bir programı MP3 veya MP4 olarak dağıtılan bir ses dosyasına kodlamakla başlıyor. Kullanıcı dosyanın ön izlemesini yaptıktan veya o dosyanın yerleştirildiği web sayfasını ziyaret ettikten sonra Android’in ses ön izleme işlevi programı etkinleştiriyor, böylelikle cihaza bulaşmış oluyor.
Daha da kötüsü, virüs saldırgan tarafından herkese açık bir Wi-Fi ağı üzerinden harekete geçirilebiliyor, Stagefright’ın kendi kendisini kopyalayan veya solucan hâlindeki versiyonu şeklinde yayılabiliyor. Ön izleme işlevinin bir tür versiyonu Android’in çoğu versiyonunda bulunuyor, bu nedenle hemen her Android cihazı bu açığa karşı hassas durumda. Ne var ki, iş uygulamaya gelince versiyondan versiyona farklılık gösteriyor.
Bu, Android’in bazı yatıştırma stratejilerinin Stagefright karşısında başlangıçta sanıldığı kadar etkili olmadığını gösteriyor. Açığı keşfeden Zimperium bunun için henüz çalışabilir bir kullanım yöntemi yayınlamadı, ancak Google ve iş ortakları bu hatayı da yamalamak için çalışmalara başladı. Bu Android kullanıcılarının mobil operatör veya üreticilerden yeni bir güvenlik güncellemesi daha alacağını gösteriyor.
Google şu anda bu sorunu Android’in çekirdek kodunda düzeltmek için çalışıyor ve yamanın 10 Eylülde iş ortaklarına gönderilen ve 5 Ekimden itibaren Nexus telefonlarına gelecek Ekim Ayı Güvenlik Güncelleme paketi içinde sunulacağını söylüyor. Android Güvenlik birimi de şimdiye kadar bu açığın aktif şekilde kötüye kullanıldığı bir olayla karşılaşmadığını kaydetti.
