يمكن إخفاء تنبيهات قراءة الحافظة في Android بتنبيهات toast مخصصة، يجد باحث

كشف باحث طريقة يمكنها إخفاء تنبيه Android الخاص بقراءة الحافظة من خلال إظهار إشعارين toast أنشأهما المطور بسرعة. جاء الإفصاح بعد أن علم الباحث أن ثغرة CVE ذات الأهمية متوسطة صُنِّفت على أنها Won't Fix من قبل فريق أمان Android. تهمّ المشكلة لأن بيانات اعتماد منسوخة، مثل كلمة مرور مشاركة عبر Slack، قد تُقرأ من تطبيق آخر دون أن يلاحظ المستخدم التنبيه المعتاد.

كيف يعمل التجاوز

باستخدام تطبيق اختبار Android بسيط، تمكن الباحث من تجاوز تدبير أمان قراءة الحافظة. أظهر التطبيق بسرعة إشعارين toast أنشأهما المطور بدلاً من الرسالة التي تنبيه المستخدم إلى أن محتويات الحافظة قُرئت. كان الباحث قد ثبّت Android Studio حديثاً ونسخ مستودع تطبيق Meshtastic لـ Android أثناء محاولة إصلاح خطأ في الطابع الزمني للإشعارات، وهو ما ترك أدوات تطوير Android متوفرة وأثار الفكرة. لم يمكن إعادة إنتاج خطأ الطابع الزمني للإشعارات.

الحماية الحالية لحافظة Android

توثيق Secure Clipboard Handling من Google يضع مسؤولية نسخ المحتوى الحساس بأمان على مطوري التطبيقات. يدعم Android علم ClipDescription.EXTRA_IS_SENSITIVE أو android.content.extra.IS_SENSITIVE، وهو ما يتيح للمطورين إخفاء معاينات محتوى الحافظة بصرياً في واجهات لوحة المفاتيح. بدون أحد هذين العلمين، قد يتمكن المهاجمون من إخراج بيانات حساسة عبر التلصص من فوق الكتف أو عبر تطبيقات خبيثة تلتقط لقطات شاشة أو تسجل فيديو أثناء عملها في الخلفية. يستخدم تطبيق Google Authenticator هذه الوظيفة عند نسخ الأكواد، لذا لا يمكن لشخص قريب رؤية السر عند فتح لوحة المفاتيح، مع أن القيمة تبقى قابلة للقراءة من تطبيقات أخرى. منذ Android 10، تم منع الوصول إلى الحافظة في الخلفية، والتطبيقات التي تلتقط الشاشة تتطلب إذناً صريحاً في كل مرة ما لم يكن تطبيق التسجيل موقّعاً بنفس المفتاح المستخدم في نظام تشغيل Android. ابتداءً من Android 12، عند مستوى API 31، يُظهر تطبيق يدخل إلى بيانات الحافظة ويُلصقها رسالة toast للمستخدم.

الإساءة المحتملة والتحكمات المطلوبة

أشار الباحث إلى أن مطوري التطبيقات الخبيثة قد يستخدمون الاستخبارات مفتوحة المصدر (OSINT) لتحديد اسم حساب مرتبط، أو بيع سر منسوخ بمفرده. كان الباحث قد فتح سابقاً طلب ميزة في Google IssueTracker يطلب التحكم في الوصول إلى الحافظة بمنح صلاحيات لكل تطبيق، على نحو مشابه لإعدادات الموقع أو الإشعارات. جاء ذلك الطلب من منظور أن رسالة toast تختفي تلقائياً وسهل تفويتها ليست كافية لعملية قد تكون حساسة. أُعدّ المقال أصلاً في نهاية يوليو 2026، لكن نشره أُجّل بانتظار حل فريق أمان Android للخلل.

Sources: toninoble.com