قلة الحصانة قامت بوضع بلايين اجهزة اندرويد تحت التهديد

من الجهاز المحمول هو أيضا قضية رئيسية من الأيام اليوم، وإذا كنا نتحدث عن الأكثر شعبية فنحن نقصد "نظام التشغيل اندرويد"  كما نعلم جميعا أنه هو الأكثر استهدافا (هجوم) . لكن فريق جوجل لا يزال يسخر جهوده لجعله آمن. باحثة الأمن  Jann Horn ، اكتشفت ثغرة أمنية حرجة على نظام التشغيل أندرويد الذي اثار ما يقرب من 99 في المئة المستخدمين أندرويد. وقد تناول الضعف CVE-2014-7911  ويقيم في java.io.ObjectInputStream، الذي فشل للتحقق ما إذا كان الكائن الذي يتم إلغاء تسلسل هو فعلا كائن قابل للتسلسل. وكان علة حرجة لأنها آثار المليارات من المستخدمين وتسمح للمهاجمين (القراصنة) لتجاوز مساحة عنوان تخطيط التوزيع العشوائي (ASLR) والدفاع وتنفيذ قانون تعسفي من اختيارهم على الجهاز الهدف تحت بيئة المطلوبة (السيناريو).
الباحثةJann Horn  تصف العلة وتقول، يمكن لتطبيقات الروبوت التواصل مع system_service، الذي يمتد تحت امتيازات المسؤول (UID 1000) وباستخدام الاهداف مع حزم المرفقة، وهذا "كما حولت الي طرود arraymap وطرود arraymap يمكن أن تحتوي على بيانات متسلسلة،" بهذه الطريقة ، أي تطبيق  أندرويد يمكن مهاجمة system_service. 
وعلى الأمن مذآرة استشارية Jann Horn لاحظ أن -

"When ObjectInputStream is used on untrusted inputs, an attacker can cause an instance of any class with a non-private parameterless constructor to be created,". "All fields of that instance can be set to arbitrary values."

"وفي المستقبل  إما تجاهل كائن خبيث أو قد يرتقي إلى نوع الذي لا يصلح، مما يعني أنه لاتوجد أية أساليب تطلق عليه او أية بيانات عن ذلك سيتم استخدامها. ومع ذلك، عندما ومع ذلك، عندما يتم جمعها من قبل مجلس الحكم GC، فإن GC يستدعي أسلوب وضع الصيغة النهائية للطريقة ".وأضاف مزيد  لم تنشر الباحثة الاستغلال الكامل للعلة لكنه قدم تفاصيل تقنية عن الضعف، والتي يمكنك قراءتها من هنا . 
وذكرت Jann Horn العلة لفريق جوجل في يونيو حزيران وكان صحح فريق جوجل الخلل في 3 نوفمبر. تم حل علة ويرقع تنفيذها على أحدث نسخة من نظام التشغيل أندرويد الإصدار 5.0 يدعى "المصاصة". هذا يعني أن الضعف لا يزال يقيم في كل إصدار نظام تشغيل الروبوت أقل من الإصدار