ប្រសិនបើត្រូវបានកេងប្រវ័ញ្ច កំហុសទាំងនេះអាចអនុញ្ញាតឱ្យអ្នកវាយប្រហារទទួលបានព័ត៌មានរសើបដោយគ្មានការអនុញ្ញាត ឬជាទូទៅបង្កបញ្ហា
ព័ត៌មានត្រូវបានចេញផ្សាយអំពី ភាពងាយរងគ្រោះមួយ (មានកាតាឡុករួចហើយនៅក្រោម CVE-2023-21036) កំណត់អត្តសញ្ញាណ នៅក្នុងកម្មវិធី Markup ប្រើក្នុង ស្មាតហ្វូន Google Pixel ដើម្បីច្រឹប និងកែសម្រួលរូបថតអេក្រង់ ដែលអនុញ្ញាតឱ្យមានការស្ដារឡើងវិញដោយផ្នែកនៃព័ត៌មានដែលបានច្រឹប ឬកែសម្រួល។
វិស្វករ Simon Aarons និង David Buchanan ដែលបានរកឃើញកំហុស និងផលិតឧបករណ៍សម្រាប់ ការងើបឡើងវិញនៃ ភស្តុតាងនៃគំនិត, រៀងគ្នា ពួកគេបានហៅវាថា Cropalypse ហើយបានកត់សម្គាល់ថា "កំហុសនេះគឺអាក្រក់" សម្រាប់មនុស្សដែលព្រួយបារម្ភអំពីឯកជនភាពរបស់ពួកគេ។
នោះមានន័យថា ប្រសិនបើនរណាម្នាក់ចាប់យករូបភាពដែលបានច្រឹបរបស់អ្នក ពួកគេអាចព្យាយាមយកផ្នែកដែលទំនងជាបាត់មកវិញ។ ប្រសិនបើរូបភាពត្រូវបានកែឡើងវិញដោយមានការគូសលើតំបន់ជាក់លាក់ នោះតំបន់ទាំងនោះអាចនឹងមើលឃើញក្នុងរូបភាពដែលបានស្ដារឡើងវិញ។ នេះមិនល្អសម្រាប់ឯកជនភាពទេ។
បញ្ហា បង្ហាញនៅពេលកែសម្រួលរូបភាព PNG នៅក្នុង Markup ហើយត្រូវបានបង្កឡើងដោយការពិតដែលថានៅពេលដែលរូបភាពដែលបានកែប្រែថ្មីត្រូវបានសរសេរ ទិន្នន័យត្រូវបានដាក់លើឯកសារមុនដោយគ្មានការកាត់ ពោលគឺឯកសារចុងក្រោយដែលទទួលបានបន្ទាប់ពីការកែសម្រួលរួមមានកន្ទុយនៃឯកសារប្រភព ដែលទិន្នន័យនៅតែចាស់។ ទិន្នន័យដែលបានបង្ហាប់។
បញ្ហា វាត្រូវបានចាត់ថ្នាក់ជាភាពងាយរងគ្រោះ។ ដោយសារអ្នកប្រើប្រាស់អាចបង្ហោះរូបភាពដែលបានកែសម្រួលបន្ទាប់ពីលុបទិន្នន័យរសើបចេញ ប៉ុន្តែតាមពិតទិន្នន័យនេះនៅតែមាននៅក្នុងឯកសារ ទោះបីជាវាមិនអាចមើលឃើញក្នុងអំឡុងពេលមើលធម្មតាក៏ដោយ។ ដើម្បីស្ដារទិន្នន័យដែលនៅសេសសល់ សេវាកម្មគេហទំព័រ acropalypse.app ត្រូវបានបើកដំណើរការ ហើយឧទាហរណ៍ Python script ត្រូវបានបោះពុម្ពផ្សាយ។
ភាពងាយរងគ្រោះនេះត្រូវបានបង្ហាញចាប់តាំងពីស៊េរីស្មាតហ្វូន Google Pixel 3 ចេញលក់ក្នុងឆ្នាំ 2018 ដោយប្រើកម្មវិធីបង្កប់ដោយផ្អែកលើ Android 10 និងកំណែថ្មីជាងនេះ។ បញ្ហានេះត្រូវបានជួសជុលនៅក្នុងការអាប់ដេតកម្មវិធីបង្កប់ Android ខែមីនាសម្រាប់ស្មាតហ្វូន Pixel ។
Buchanan បាននិយាយថា "លទ្ធផលចុងក្រោយគឺថាឯកសាររូបភាពត្រូវបានបើកដោយគ្មានទង់ [កាត់ឱ្យខ្លី] ដូច្នេះនៅពេលដែលរូបភាពដែលបានច្រឹបត្រូវបានសរសេរ រូបភាពដើមមិនត្រូវបានកាត់ឱ្យខ្លី" ។ msgstr "ប្រសិនបើឯកសាររូបភាពថ្មីតូចជាងនេះ ចុងបញ្ចប់នៃដើមត្រូវបានទុកនៅខាងក្រោយ។"
បំណែកនៃឯកសារដែលត្រូវបានគេសន្មត់ថាត្រូវកាត់ត្រូវបានគេរកឃើញថាអាចទាញយកមកវិញជារូបភាពបន្ទាប់ពីធ្វើវិស្វកម្មបញ្ច្រាសនៃវិធីសាស្រ្តបណ្ណាល័យបង្ហាប់ zlib ដែល Buchahan និយាយថាគាត់អាចធ្វើបាន "បន្ទាប់ពីពីរបីម៉ោងនៃការលេងជុំវិញ" ។ លទ្ធផលចុងក្រោយគឺជាភស្តុតាងនៃគំនិតដែលនរណាម្នាក់ដែលមានឧបករណ៍ Pixel ដែលរងផលប៉ះពាល់អាចសាកល្បងដោយខ្លួនឯងបាន។
វាត្រូវបានគេជឿថា បញ្ហានេះកើតឡើងដោយសារតែការផ្លាស់ប្តូរឥរិយាបថដែលមិនមានឯកសារនៃវិធីសាស្ត្រ ParcelFileDescriptor.parseMode() ដែលក្នុងនោះ មុនពេលការចេញផ្សាយប្រព័ន្ធប្រតិបត្តិការ Android 10 ទង់ "w" (សរសេរ) បណ្តាលឱ្យឯកសារត្រូវបានកាត់ឱ្យខ្លី នៅពេលព្យាយាមសរសេរទៅឯកសារដែលមានស្រាប់ប៉ុន្តែចាប់តាំងពីការចេញផ្សាយប្រព័ន្ធប្រតិបត្តិការ Android 10 ឥរិយាបថបានផ្លាស់ប្តូរ ហើយសម្រាប់ការកាត់ចេញ វាត្រូវបានទាមទារឱ្យបញ្ជាក់យ៉ាងច្បាស់នូវទង់ "wt" (សរសេរ កាត់ខ្លី) ហើយនៅពេលដែលទង់ "w" ត្រូវបានបញ្ជាក់ ជួរមិនត្រូវបានដកចេញទៀតទេ បន្ទាប់ពីសរសេរឡើងវិញ .
និយាយឱ្យខ្លី កំហុស "aCropalypse" បានអនុញ្ញាតឱ្យនរណាម្នាក់ថតរូបអេក្រង់ PNG ដែលបានច្រឹបនៅក្នុង Markup ហើយមិនធ្វើវិញយ៉ាងហោចណាស់ការកែសម្រួលមួយចំនួនចំពោះរូបភាព។ វាជាការងាយស្រួលក្នុងការស្រមៃនូវសេណារីយ៉ូដែលតួអង្គអាក្រក់អាចបំពានសមត្ថភាពនោះ។ ជាឧទាហរណ៍ ប្រសិនបើម្ចាស់ Pixel បានប្រើ Markup ដើម្បីធ្វើឡើងវិញនូវរូបភាពដែលរួមបញ្ចូលព័ត៌មានរសើបអំពីខ្លួនគាត់ នោះនរណាម្នាក់អាចទាញយកកំហុសដើម្បីបង្ហាញព័ត៌មាននោះ។
វាសមនឹងនិយាយពីរឿងនោះ Google បានធ្វើការជួសជុល Cropalypse នៅក្នុងរបស់ពួកគេ។ ការធ្វើបច្ចុប្បន្នភាពសុវត្ថិភាព Pixel ខែមីនា (គ្រាន់តែមុនពេលព័ត៌មានលម្អិតអំពីភាពងាយរងគ្រោះត្រូវបានចេញផ្សាយ)៖
អ្វីៗទាំងអស់គឺល្អ និងល្អនាពេលអនាគត៖ ឥឡូវនេះ អ្នកអាចច្រឹប កែសម្រួល និងចែករំលែកដោយមិនភ័យខ្លាចថារូបភាពនាពេលអនាគតរបស់អ្នកអាចនឹងត្រូវបានទាញយកមកវិញ ប៉ុន្តែមិនមានរូបថតអេក្រង់ដែលមិនចែករំលែកដែលងាយរងគ្រោះដោយសារការកេងប្រវ័ញ្ចបានឆ្លងកាត់រួចហើយ បង្ហោះទៅ Discord ជាដើម។
ទីបំផុត ប្រសិនបើអ្នកចាប់អារម្មណ៍ចង់ដឹងបន្ថែមអំពីវា អំពីភាពងាយរងគ្រោះ អ្នកអាចពិគ្រោះជាមួយការបោះពុម្ពផ្សាយដើមនៅ តំណខាងក្រោម។
ធ្វើជាយោបល់ដំបូង