10 روز از زمانی که «جاشوآ دریک» از Zimperium نقض امنیتی جدید اندروید به نام Stagefright را آشکار کرد، می‌گذرد و اندروید شروع به برطرف کردن این باگ کرده است. این باگ به حمله کننده اجازه می‌دهد که بتواند توسط یک پیام چندرسانه‌ای متنی، که حتی در خیلی از موارد نیازی به باز کردن پیام توسط کاربر نیز نیست، کد مورد نظرش را روی دستگاه کاربر اجرا کند. گوگل برای درست کردن این مشکل ماه‌ها وقت داشته است و در زمان اعلام این خبر نیز وصله (پچ) نرم‌افزاری لازم از طرف گوگل آماده بود، اما همانطور که انتظار می‌رفت، انتشار این وصله توسط تولیدکنندگان و اپراتورها کار مشکل و پیچیده‌ای بود.
اما بعد از این‌ها اتفاقی افتاد: سیستم آپدیت بدنام اندروید شروع به کار کردن کرد. سامسونگ، اچ‌تی‌سی، ال‌جی، و اندروید وان اعلام کرده‌اند که در حال کار کردن روی این وصله هستند و وصله مخصوصی نیز برای Alcatel Idol 3 عرضه خواهد شد. در شرکت سامسونگ این اتفاق سبب تغییر شدیدی در قوانین امنیتی این شرکت شده و این شرکت تصمیم گرفته است وصله‌های امنیتی مورد نیاز را هر ماه منتشر کند، مثالی که انتظار می‌رود تولیدکنندگان دیگر نیز از آن پیروی کنند. گوگل نیز برنامه مشابهی را برای گوشی‌های نکسوز خود اعلام کرده است. به نظر می‌رسد که Stagefright سبب ترس تولیدکنندگان و اپراتورها شده و آن‌ها را به واکنش وا داشته است و همانطور که به نظر می‌رسد، این سیستم‌عامل چندپاره هنوز هم راه‌های زیادی برای مراقبت از خود دارد.
با این حال هنوز خیلی زود است و بیشتر دستگاه‌ها آپدیت مورد نیاز را تا اواخر این ماه دریافت نخواهند کرد، اما رئیس امنیتی اندروید، «آدریان لودویگ» خوشبین است که بیشتر کاربران اندروید این وصله را دریافت خواهند کرد و قبل از اینکه حمله‌کننده‌ها به دستگاه آن‌ها برسند این وصله‌ها روی دستگاه‌شان نصب خواهد شد. لودویگ همچنین اضافه کرد «گزارش‌های اولیه جواب‌های خیلی خیلی قوی‌ای را در بر داشت. تولیدکنندگان و خود اندروید تازه در حال درک این موضوع هستند که چطور سریع‌تر واکنش نشان دهند، و به این دلیل که حالا فهمیده‌ایم که این قضیه چقدر مهم است.»
همچنین به نظر می‌رسد موجی از اظهار نظر‌های عمومی منفی در مورد این باگ تولیدکنندگان را وادار به واکنش در این مورد کرده است. جانشین رئیس Samsung partner solutions «ریک سگال» می‌گوید که شروع کار برای انتشار این آپدیت در سامسونگ از شش ماه پیش شروع شده بود. مشتریان این شرکت برای مدت‌ها خواستار امنیت بهتر روی دستگاه‌ها بودند و وقتی که در تابستان امسال مشکل امنیتی صفحه کلید Swiftkey سامسونگ کشف شد، این شرکت از جواب‌های مثبت مشتریان به انتشار سریع وصله این نقض امنیتی تحت تاثیر قرار گرفت. هشدارهای عمومی زیادی که در مورد Stagefright وجود داشت برای ایجاد این تغییر کافی بود. سگال اضافه کرد «و در واقع کار درست نیز همین است، هیچ عقب‌نشینی‌ای از اپراتورها یا شرکا یا هیچ کس دیگر نخواهید دید چون همه می‌دانند که کار درست همین است.»
اما این هنوز هم به این معنی نیست که وصله‌ها فوراً منتشر خواهند شد، بلکه به این معنی است که به جای ماه‌ها در طی چند هفته منتشر خواهند شد، که به حمله‌کنندگان فرصت کمتری می‌دهد تا از این باگ تازه کشف شده سو استفاده کنند. همچنین در عین حال اقدامات تسکینی اندروید، سو استفاده از این باگ را سخت‌تر و سخت‌تر می‌کند. حتی همین حالا هم این باگ نمی‌تواند سیستم Address Space Layout Randomization protections اندروید (که معمولاً با نام ASLR شناخته می‌شود) را دور بزند. این باگ هنوز هم می‌تواند سبب اجرای کدهای غیرمجاز شود، که در هر صورتی اتفاق بدی است، اما سیستم ASLR اجرای یک کد مشخص روی دستگاه‌های مختلف را سخت می‌کند، اتفاقی که توسط خود دریک کشف شد.
در هسته این نقض امنیتی، Stagefright به این صورت عمل می‌کند که مموری سیستم را تغییر می‌دهد تا شمارشگر کنترلی برنامه را تغییر دهد، شمارشگری که خط بعدی کدی که باید اجرا شود را در خود ذخیره کرده است. در حالت کلی تحریف این شمارشگر به حمله کننده این اجازه را می‌دهد که کد مورد نظر خود را به لیست کدهای در حال انتظار برای اجرا شدن اضافه کند، اما سو استفاده از این قدرت نیازمند این است که بدانید هر قسمت از سیستم اندروید در کجا قرار گرفته است. ASLR این قسمت‌ها را در هم مخلوط می‌کند و با این کار برای پیدا کردن کد مورد نظر حمله کننده همه منابع قابل اطمنیان را از حمله کننده می‌گیرد.
این نکته خیلی مهم است چون نمایش‌های اولیه از Stagefright تا نقطه اجرای کد بودند. وقتی که دریک موفق شد شمارشگر کنترلی برنامه را تغییر دهد به جدی بودن این باگ پی برد. هنوز هم ممکن است سیستم قابل اطمینانی برای جلوگیری از این اتفاق وجود داشته باشد و باید منتظر ارائه دریک در این مورد بمانیم. «هیچ کس فکر نمی‌کند که راه‌حل‌ها کامل‌اند، اما قطعاً تا زمان ارائه وصله‌ها توسط تولیدکنندگان برای کاربران کمی وقت می‌خرند.»
فعلاً بهترین راه حل موقت برای کاربران خاموش کردن «automatically retrieve MMS (دریافت خودکار پیام چندرسانه‌ای» است اما همین راه حل موقت نیز از چند جهت مورد حمله قرار گرفته است. گوگل قول انتشار وصله امنیتی اپ Hnagout را در هفته آینده داده است اما خیلی از اپراتورها حل این مشکل را خودشان به دست گرفته‌اند. اپراتور آلمانی تلکام با خاموش کردن رساندن خودکار پیام‌های چند رسانه‌ای برای کاربران اندروید به این مشکل پاسخ داد.
متاسفانه پیام چند رسانه‌ای تنها راه سو استفاده از Stagefright نیست، پس کاربران تا وقتی که این حفره در سطح سیستم عامل رفع نشود ایمن نخواهند بود. محققان راه‌هایی برای سو استفاده از این حفره توسط باز کردن یک آدرس اینترنتی یا حتی از درون یک اپ پیدا کرده‌اند اما در هر کدام از این موارد کاربر باید عمل مربوطه را انجام دهد بنابراین این حمله به اندازه حمله از طریق پیام چند رسانه‌ای خطرناک نیست. البته باز هم با وجود ارائه راه حل‌های موقت، این راه‌های دیگر سو استفاده از باگ Stagefright اهمیت انتشار این وصله را افزایش می‌دهند.
حال سوال اصلی این است که چه تعدادی از تولیدکنندگان این وصله را منتشر خواهند کرد و چه تعداد از دستگاه‌ها از دسترسی به این وصله محروم می‌مانند. اولین موج این وصله‌ها شامل Galaxy S3 و S4 نمی‌شد، گرچه این دو دستگاه از محبوب‌ترین دستگاه‌های اندرویدی در حال استفاده هستند، البته سامسونگ قصد خود از ارائه وصله برای این دستگاه‌ها را در همین ماه اعلام کرده است. از طرف دیگر تولیدکنندگانی همچون ایسوس و هوآوی هنوز نظر عمومی خود در مورد این مشکل امنیتی و زمان عرضه وصله امنیتی مورد نیاز را اعلام نکرده‌اند.
