KRİTİK HƏSSASLIQ: Dolby DD+ Kodekindəki Zəiflik Android Cihazlarında Kod İcrasına Şərait Yaradır

Google, mobil cihaz təhlükəsizliyi sahəsindəki daimi fəaliyyətini davam etdirərək, yanvar 2026-cı il Android Təhlükəsizlik Bülletenini nəşr etdi. Bu bülletendə istifadəçilərə 2026-01-05 yamaq səviyyəsinə və ya daha yenisinə yeniləməyə çağıran kritik bir zəiflik qeyd olunur. Bu boşluq, Android ekosistemində geniş istifadə olunan Dolby komponentlərini hədəf alır və multimedia kodeklərinin təhlükəsizliyindəki mövcud problemləri bir daha gündəmə gətirir.

Ən ciddi aşkar edilən məsələ, CVE-2025-54957 identifikasiyasına malik zəiflikdir. Bu kritik boşluq Dolby Digital Plus (DD+) kodekinin işlənməsi zamanı yaranır və təsirlənən Android cihazlarında yaddaş sərhədlərindən kənar yazmağa (Out-of-Bounds Memory Write) imkan verir. Dolby tərəfindən ‘Kritik’ (Critical) olaraq qiymətləndirilən bu zəiflik, düzgün istismar edildiyi təqdirdə uzaqdan kod icrası (Remote Code Execution – RCE) riskini daşıyır.

Texniki Detallar

CVE-2025-54957 zəifliyinin əsasında Dolby-nin Universal Decoder Core (UDC) versiyaları 4.5-dən 4.13-ə qədər olan hissəsindəki struktur xətası dayanır. Bu, tipik olaraq Android-də yüksək keyfiyyətli səs axınlarını (audio streaming) idarə edən mühüm bir hissədir.

Hücumun aktivləşməsi üçün zərərli şəxsin xüsusi olaraq hazırlanmış bir DD+ bitstream (səs axını məlumatı) faylından istifadə etməsi tələb olunur. Bu bitstream faylı standartlara tam uyğun olmasa da, dekoder tərəfindən ‘qanuni’ (valid) kimi qəbul ediləcək şəkildə manipulyasiya edilir.

• Hədəf Komponent: Dolby Universal Decoder Core (UDC), versiya 4.5-4.13.
• Zəifliyin Növü: Out-of-Bounds Write (Yaddaş sərhədlərindən kənar yazma).
• Tətikləmə Şərtləri: Qeyri-standart, lakin işlənə bilən DD+ bitstream.

Qeyd etmək lazımdır ki, qanuni Dolby müəllif alətləri bu cür zərərli axınları yarada bilmir, bu da təhlükənin təbii yaranma ehtimalını minimuma endirir. Lakin kibercinayətkarlar tərəfindən media fayllarının (məsələn, səs və ya video fayllarının) tərkibinə gizlədilməsi real bir təhlükə ssenarisidir.

Təhlükənin Miqyası

Google tərəfindən yayımlanan bülleten, bu boşluğun riskinin bəzi cihazlarda daha da artırıldığını göstərir. Xüsusilə Google Pixel cihazları ilə bağlı olan bir hesabatda, bu Dolby zəifliyinin Pixel-ə xas digər məlum boşluqlarla birləşərək hücumun təsirini ciddi şəkildə gücləndirdiyi vurğulanır. Bu, Pixel cihazlarında rəqəmsal imzalanmış media faylı vasitəsilə ən yüksək imtiyazlarla kod icrasının mümkünlüyünü nəzərdə tutur.

Google xəbərdarlıq edir ki, “Digər Android mobil cihazları da oxşar zəifliklərlə üzləşə bilər.” Lakin Pixel olmayan digər cihazlar üçün zəifliyin təkbaşına istismarı əsasən bu nəticələrə səbəb olur:

• Media pleyer proqramının qəzaya uğraması (crash).
• Cihazın yenidən başlaması (reboot).
• Potensial yaddaş korrupsiyası (Memory Corruption).

Məlumat kodeklərinin daimi olaraq Android istismarları üçün əsas vektor təşkil etməsi, təhlükəsizlik komandaları üçün davamlı bir problemdir. DD+ səs dekodlaması bilavasitə istifadəçi tərəfindən işə salınan tətbiqlərdə (məsələn, axın xidmətləri) tətbiq olunduğundan, hücum səthi genişdir.

Tövsiyələr və Həll Yolları

Google, bu zəifliyi aktiv şəkildə izləsə də (Play Protect telemetriyası vasitəsilə), istifadəçilər və sistem inzibatçıları üçün ən təsirli müdafiə yolu yeniləmədir.

Yenilənmə və Müdafiə Strategiyaları:

1. Təcili Yamaqların Tətbiqi: İstifadəçilər dərhal cihazlarının təhlükəsizlik yamaq səviyyəsini 2026-01-05 və ya daha yeni bir versiyaya qaldırmalıdırlar. Bu, xüsusilə Google Pixel sahibləri üçün ən yüksək prioritetə malikdir.

2. Google-un Qatlı Müdafiə Mexanizmləri: Android platforması, OOB yazma kimi istismar cəhdlərini çətinləşdirən bir sıra daxili müdafiə mexanizmlərinə malikdir. Bunlara sərtləşdirilmiş yaddaş idarəetməsi (hardened memory management) və real-time zərərli proqram skaneri olan Google Play Protect daxildir.

3. İstifadəçi Davranışı:

• Tətbiqləri yalnız rəsmi Google Play Store vasitəsilə yükləyin ki, Play Protect müdafiəsi aktiv qalsın.
• Cihazın təhlükəsizlik səviyyəsini yoxlayın (Parametrlər > Telefon haqqında > Android versiyası).
• Tanımadığınız mənbələrdən göndərilən və ya qeyri-rəsmi kanallarda paylaşılan media fayllarından çəkinin.

AOSP (Android Open Source Project) mənbə kodu dəyişiklikləri isə bülletenin dərcindən sonra 48 saat ərzində paylanacaqdır, bu da OEM (Original Equipment Manufacturer) tərəfdaşlarına vaxtında yeniləmə təmin etməyə imkan verir.

Nəticə

Dolby DD+ kodekindəki bu kritik zəiflik, texnologiya tədarük zəncirinin təhlükəsizliyinin nə qədər həyati olduğunu göstərir. Google-un sürətli reaksiyasına baxmayaraq, istifadəçilərin proaktiv şəkildə yeniləmələri tətbiq etməsi vacibdir. Xaker.az komandası istifadəçilərə bu təhlükəsizlik bülletenlərini diqqətlə izləməyi və cihazlarını ən son yamaqlarla qorumağı tövsiyə edir.