چکیده

یک آسیب‌پذیری بحرانی افزایش سطح دسترسی (EoP) در کرنل اندروید شناسایی شده است که دستگاه های گوگل پیکسل را تحت تاثیر قرار می دهد. مهاجم می‌تواند با بهره‌برداری از ضعف در مدیریت دسترسی های WLAN (شبکه لوکال بی‌سیم)، دسترسی غیرمجاز به منابع سیستم را به دست آورد و منجر به نفوذ کامل به دستگاه شود.

توضیحات

آسیب‌پذیری CVE-2025-36890 در کرنل اندروید (مسئول مدیریت سخت‌افزار و سطح دسترسی) ناشی از مدیریت نادرست سطح دسترسی مطابق با CWE-269 است که به مهاجم از راه دور اجازه می‌دهد با دسترسی اولیه پایین (مانند از طریق اپلیکیشن مخرب یا اتصال Wi-Fi)، سطح دسترسی خود را به root یا system افزایش دهد.

این ضعف عمدتاً در زیر کامپوننت WLAN فعال می‌شود، جایی که فرآیندهای مرتبط با مدیریت شبکه‌های بی‌سیم (مانند wpa_supplicant یا درایورهای Wi-Fi) به درستی ایزوله نمی‌شوند و مهاجم می‌تواند با تزریق بسته‌های خاص یا سوءاستفاده از ضعف در پردازش فریم‌ها، بافرها را آسیب‌پذیر کند یا شرایطی ایجاد نماید که کنترل فضای کرنل را به دست آورد.

پیامدهای این ضعف شامل محرمانگی با افشای داده‌های حساس مانند کلیدهای رمزنگاری، لاگ‌های کاربر و اطلاعات شخصی، یکپارچگی با تغییر عملکرد سیستم مانند نصب بکدور یا تغییر تنظیمات امنیتی و در دسترس‌پذیری با ایجاد کرش کرنل است که می‌تواند منجر به نفوذ کامل به دستگاه شود.

بهره‌برداری از این ضعف به‌سادگی قابل خودکارسازی است؛ مهاجم می‌تواند با اسکریپت‌ها یا ابزارهای خودکار، به‌صورت از راه دور، بدون تعامل کاربر و بدون نیاز به دسترسی اولیه از طریق اتصال Wi-Fi یا نصب جانبی اپلیکیشن مخرب، پیلود را در WLAN تزریق کند و سطح دسترسی را افزایش دهد. گوگل با انتشار patch level 2025-09-05، کنترل دسترسی در زیرکامپوننت WLAN را تقویت کرده و ایزوله‌سازی فرآیندهای شبکه بی‌سیم را بهبود بخشیده است.

CVSS

Score	Severity	Version	Vector String
9.8	CRITICAL	3.1	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

لیست محصولات آسیب پذیر

Versions	Product
affected at Android kernel	Android

لیست محصولات بروز شده

Versions	Product
Security patch level 2025-09-05 or later	Android

استفاده محصول در ایران

در این جدول، تعداد صفحات ایندکس‌شده در گوگل با دامنه .ir که Android kernel را ذکر کرده اند، ثبت شده است. این داده صرفاً برای برآورد تقریبی حضور محصولات در وب ایران استفاده شده و نمایانگر میزان نصب دقیق و استفاده واقعی نیست.

Approx. Usage in .ir Domain via Google (Total Pages)	Search Query (Dork)	Product
1,710	site:.ir “Android kernel”	Android kernel

نتیجه گیری

این آسیب‌پذیری با شدت بحرانی در کرنل اندروید دستگاه‌های گوگل پیکسل، امکان افزایش سطح دسترسی از راه دور را فراهم می کند و می‌تواند منجر به نفوذ کامل به سیستم شود. با توجه به انتشار پچ امنیتی، اجرای اقدامات زیر برای جلوگیری از بهره‌برداری و کاهش ریسک ضروری است:

• به‌روزرسانی فوری: تمام دستگاه‌ها را با patch level 2025-09-05 یا بالاتر به روزرسانی کنید.
• مدیریت سطح دسترسی: از SELinux (ماژول امنیتی کرنل برای ایزوله‌سازی) در حالت enforcing استفاده کنید و اپلیکیشن‌های غیر قابل اعتماد را با Google Play Protect بررسی نمایید تا سطح دسترسی غیرضروری محدود شود.
• نظارت و لاگ‌گیری: لاگ‌های کرنل را با ابزارهایی مانند Android Debug Bridge (ADB) یا Logcat مانیتور کنید و برای فعالیت‌های مشکوک در زیرکامپوننت WLAN هشدار تنظیم نمایید؛ از VPN برای رمزنگاری ترافیک شبکه‌های Wi-Fi استفاده کنید..
• ایزوله‌سازی: دستگاه‌ها را در پروفایل‌های کاری با Android Enterprise ایزوله کنید و دسترسی‌های WLAN را با فایروال‌های اپلیکیشن مانند AFWall+ محدود سازید.
• تست امنیتی: با ابزارهایی نظیر Metasploit یا Frida اسکن کرنل را انجام دهید و تست‌های نفوذ برای سناریوهای افزایش سطح دسترسی در WLAN اجرا کنید.
• آموزش: کاربران را در مورد ریسک‌های افزایش سطح دسترسی در اندروید و لزوم بروزرسانی منظم و اجتناب از استفاده Wi-Fiهای عمومی آگاه سازید.

اجرای این اقدامات، به ویژه نصب پچ امنیتی و تقویت سیاست های SELinux، امنیت کرنل اندروید را به طور قابل توجهی افزایش می‌دهد و از نفوذ از راه دور جلوگیری می کند.

امکان استفاده در تاکتیک های Mitre Attack

Initial Access (TA0001)
حمله بردار شبکه‌ای از راه دور دارد: مهاجم با ارسال فریم‌ها/پکت‌های وایرلسِ مخصوص یا بهره‌برداری از ترافیک WLAN به رابط رادیویی دستگاه هدف، بدون نیاز به تعامل کاربر یا حساب محلی، ورودی لازم برای تحریک آسیب‌پذیری در زیرسیستم WLAN/درایور فراهم می‌کند

Privilege Escalation (TA0004)
پیامد مستقیمِ بهره‌برداریِ موفق، افزایش سطح دسترسی (local/remote privilege escalation) است: با موفقیت در بهره‌برداری از خطای حافظه در درایور WLAN، مهاجم می‌تواند کد را در فضای کرنل اجرا کند یا context kernel را تغییر دهد و از یک بردار شبکه‌ای به امتیازات system/root جهش یابد.

Persistence (TA0003)
پس از دستیابی به سطح کرنل/روت، مهاجم بسیار محتمل است که ترفندهایی برای ماندگاری اجرا کند. مواردی مانند نصب ماژول کرنل مخفی، ایجاد unitهای systemd، یا نوشتن باینری‌های SUID/SGID در مسیرهای داده.

Defense Evasion (TA0005)
مهاجم با امتیاز root می‌تواند لاگ‌ها را پاک یا دستکاری کند، timestamps را تغییر دهد و فرآیندهای تشخیص را غیرفعال نماید؛ این کار عملاً مانع تشخیص و باعث تاخیر در واکنش می‌شود.

Discovery (TA0007)
بعد از escalation، مهاجم می تواند به سرعت محیط را کشف می‌کند.

Credential Access (TA0006)
با دسترسی روت، استخراج credentialها، Keystore، فایل‌های پیکربندی، PSKهای وای‌فای عملی و محتمل است.

Lateral Movement (TA0008)
مهاجم ممکن است بتواند از دستگاهِ آلوده به عنوان springboard برای حرکت به شبکه‌های مدیریتی یا سرورهای حساس استفاده کند؛ این کار معمولاً با استفاده از credentialهای استخراج‌شده یا سرویس‌های مجاز انجام می‌شود.

Impact (TA0040)
اثرات گزارش-شده و تأییدشده شامل Confidentiality, Integrity و Availability است: بهره‌برداری می‌تواند منجر به افشای کلیدها و اطلاعات حساس (C:H) ، نصب بک‌دور یا تغییر تنظیمات امنیتی (I:H) ، و/یا کرش کرنل و قطع سرویس (A:H) گردد.

منابع

1. https://www.cve.org/CVERecord?id=CVE-2025-36890
2. https://www.cvedetails.com/cve/CVE-2025-36890/
3. https://source.android.com/security/bulletin/pixel/2025-09-01
4. https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-36890
5. https://vuldb.com/?id.322471
6. https://support.google.com/pixelphone/answer/4457705
7. https://nvd.nist.gov/vuln/detail/CVE-2025-36890
8. https://cwe.mitre.org/data/definitions/269.html