باگ‌های «دهه‌ساله» روی ویندوز، اندروید، macOS و لینوکس یافت شد – اما سازندگان سیستم‌عامل آن را مشکل بزرگی نمی‌دانند.

محققان دانشگاه گراتس چندین دهه نقص در زیرسیستم های اعلان فایل در لینوکس، ویندوز، macOS و اندروید پیدا کردند.

حملات کانال جانبی می‌توانند از طریق دسترسی غیرمجاز به ضربه‌های کلید، وب‌سایت‌های بازدید شده یا حتی سرقت اطلاعات اعتباری پی ببرند.

کاهش جزئی ارسال لینوکس (CVE‑2025‑68788)؛ مایکروسافت و اپل تایید کردند اما وصله نکردند، نسخه نمایشی مورد انتظار در ACM CCS 2026 محققان یک آسیب‌پذیری را در همه سیستم‌عامل‌های اصلی پیدا کرده‌اند که در سناریوهای خاصی می‌تواند به عوامل تهدید اجازه دهد اعتبار ورود به سیستم را بدزدند یا وب‌سایت‌هایی را که هدف بازدید می‌کند، ردیابی کنند. از سوی دیگر، سازندگان سیستم‌عامل چندان در این مورد به نظر نمی‌رسند.

این اشکال به عنوان یک حمله کانال جانبی توصیف می شود - نوعی حمله که در آن عوامل تهدید به سادگی نحوه عملکرد سیستم را مشاهده می کنند و اسرار ارزشمند را از طریق سرنخ های غیر مستقیم استخراج می کنند. برای مثال، با نظارت بر میزان قدرتی که تراشه در هر لحظه از زمان مصرف می‌کند، مهاجمان می‌توانند رمز عبور را مشاهده و استخراج کنند.

این توسط محققان امنیتی از دانشگاه فناوری گراتس اتریش: Sudheendra Raghav Neela، Xufan Zhao، Jeanette Angelika Wultsch، Hannes Weissteiner، Florian Draschbacher، Stefan Gast و Daniel Gruss کشف شد.

اطلاع رسانی به سیستم

این آسیب‌پذیری کانال جانبی خاص در زیرسیستم اعلان فایل که تقریبا در همه سیستم‌عامل‌های موجود امروزی اجرا می‌شود، یافت شد. این زیرسیستم به گونه ای ساخته شده است که هنگام تغییر فایل های سیستم به برنامه ها اطلاع دهد. نه آنچه تغییر کرده است، فقط تغییری رخ داده است. ظاهرا باگ نیز بسیار قدیمی است.

Sudheendra Raghav Neela، دانشجوی دکترا در TU Graz، در ایمیلی به The Register گفت: «ما باگ‌های چند دهه‌ای را در [این سیستم‌عامل‌ها] پیدا کردیم که همگی ریشه در زیرسیستم‌های اعلان فایل دارند که هر سیستم‌عامل مدرن برای اطلاع‌رسانی به برنامه‌ها هنگام تغییر فایل‌ها ارسال می‌کند.

در لینوکس، این زیرسیستم inotify نامیده می شود و از سال 2005 تحت تأثیر قرار گرفته است. در Android FileObserver (از سال 2008 تحت تأثیر قرار گرفته است) و در Windows - ReadDirectoryChangesW - از سال 2000 نقص دارد. در MacOS، FSEvents نامیده می شود، از سال 2007 آسیب پذیر است.

در این مقاله، محققان ادعا می‌کنند که اطلاعات رویداد فایل می‌تواند به مهاجمان کمک کند نتیجه بگیرند که سایر کاربران در رایانه چه می‌کنند. آن‌ها می‌توانند یک حمله زمان‌بندی بین ضربه‌ای را راه‌اندازی کنند، استنباط کنند که کاربران چه چیزی را وارد می‌کنند (چه به صورت محلی و چه از راه دور)، وب‌سایت‌هایی را که بازدید می‌کنند، و احتمالا حتی اعتبار ورود به سیستم را از طریق اصلاح UI سرقت کنند.

مشکل از این واقعیت ناشی می شود که کاربران غیرمجاز اجازه دسترسی به زیرسیستم اعلان فایل را دارند. این در درجه اول به فایل‌هایی مربوط می‌شود که می‌توانند توسط چندین کاربر خوانده شوند، اما ظاهرا تعداد زیادی فایل در یک سیستم وجود دارد که در آن دسته قرار می‌گیرند.

بدون پچ

در لینوکس، تماشای دایرکتوری قابل خواندن، رویدادهایی را در فایل‌های داخل آن لو می‌دهد که حتی نمی‌توانید آن را بخوانید: تماشای /dev/input یک اعلان در هر ضربه کلید می‌دهد، که ما آن را به یک حمله زمان‌بندی محلی بین ضربه‌ای کلید با امتیاز 93.1 تا 100% [دقت ضربه کلید] در بین هفت کاربر و یک از راه دور (SSH) در 100% تبدیل می‌کنیم.

محدوده درصد به این معنی است که حمله در همه موارد کار نخواهد کرد، که کم و بیش استاندارد با حملات کانال جانبی است. اجرای آنها بسیار دشوار است، به همین دلیل است که اغلب سازندگان سیستم عامل به سختی از اخبار چشم پوشی می کنند.

همه آنها تقریبا یک سال پیش از این یافته ها مطلع شدند و اکثر آنها هرگز به خود زحمت ندادند که به آن رسیدگی کنند. لینوکس برخی از کاهش‌دهنده‌ها، از جمله CVE-2025-68788 را معرفی کرد که از ایجاد رویدادهای «دسترسی» و «اصلاح» خاص برای فایل‌های خاص توسط inotify جلوگیری می‌کند. این اصلاح به هسته‌های متعدد و توزیع‌های لینوکس ارسال شد، اما تنها بخشی از تکنیک‌های حمله گسترده‌تر را که محققان توضیح دادند، بررسی می‌کند.

ظاهرا مایکروسافت و اپل این یافته‌ها را تأیید کردند، اما جدای از آن - کار بسیار کمی انجام دادند. مایکروسافت به محققان گفت که رفتار ReadDirectoryChangesW "توسط طراحی" است، اگرچه این ویژگی مستند نشده است. آنها بر این باورند که توانایی نظارت بر مسیرهای فایل در بین کاربران، آسیب‌پذیری شایسته وصله نیست. در این گزارش نیز اشاره ای به انجام کاری اپل در این زمینه نشده است.