ম্যানিপুলেটেড WAP পুশ মেসেজ ক্র্যাশ টেলিফোন সার্ভিস; অ্যান্ড্রয়েড 12 এবং 13 অফিসিয়াল প্যাচ ছাড়াই দুর্বল থাকে।
29শে অক্টোবর, 2026-এ, নিরাপত্তা গবেষক মার্ক ব্লাসজিক অ্যান্ড্রয়েড অপারেটিং সিস্টেমে একটি গুরুতর দুর্বলতার বিবরণ প্রকাশ করেছেন। বিশেষভাবে ম্যানিপুলেটেড WAP পুশ সংক্ষিপ্ত বার্তাগুলি অপারেটিং সিস্টেমের কেন্দ্রীয় টেলিফোনি প্রক্রিয়াকে বিপর্যস্ত করতে পারে।
আক্রমণটির জন্য ব্যবহারকারীর কাছ থেকে কোনও মিথস্ক্রিয়া প্রয়োজন হয় না এবং ইনবক্সে কোনও দৃশ্যমান বার্তা ছেড়ে যায় না। নিরাপত্তা ত্রুটি চলমান ফোন কল এবং জরুরী কলগুলিকে বাধাগ্রস্ত করতে পারে এবং প্রভাবিত স্মার্টফোনগুলিকে বারবার রিস্টার্ট লুপে যেতে পারে।
WSP হেডার পার্সিং-এ প্রযুক্তিগত কারণ
এসএমএস পাওয়ার জন্য সিস্টেমের উপাদানের গভীরে ত্রুটি রয়েছে, বিশেষ করে WapPushOverSms.decodeWapPdu() পদ্ধতিতে। WSP হেডারের দৈর্ঘ্যের মান প্রথমে 64-বিট পূর্ণসংখ্যা (লম্বা) হিসাবে পড়া হয়। যাইহোক, একটি সাইনড 32-বিট পূর্ণসংখ্যা (স্বাক্ষরিত int) একটি টাইপ রূপান্তর পূর্ব পরিসীমা পরীক্ষা ছাড়াই সঞ্চালিত হয়।
যদি হেক্সাডেসিমেল মান 0x80000000 এই পাঁচ-বাইট লম্বা ক্ষেত্রে পাস করা হয়, এটি 2,147,483,648 নম্বরের সাথে মিলে যায়। যাইহোক, ভুল কাস্টের কারণে, সিস্টেম মানটিকে একটি নেতিবাচক সংখ্যা -2,147,483,648 হিসাবে ব্যাখ্যা করে। ফলস্বরূপ, মেমরির অনুরোধটি নেগেটিভ অ্যারে সাইজএক্সেপশন টাইপের একটি আন-হ্যান্ডেল করা ব্যতিক্রম ছুঁড়ে দেয়, যা হঠাৎ করে সম্পূর্ণ com.android.phone টেলিফোনি পরিষেবা বন্ধ করে দেয়। মাত্র 8 বাইটের মোট দৈর্ঘ্য সহ একটি একক ভুল বার্তা এই ক্র্যাশের জন্য যথেষ্ট।
বিজ্ঞাপন
আপনি যদি আপনার অ্যান্ড্রয়েড স্মার্টফোনকে হ্যাকার এবং প্রযুক্তিগত ব্যর্থতা থেকে রক্ষা করতে চান তবে আপনাকে প্রাথমিক নিরাপত্তা সতর্কতা অবলম্বন করা উচিত। এই বিনামূল্যের গাইড আপনাকে পাঁচটি সহজ পদক্ষেপ দেখায় যা আপনি অবিলম্বে আপনার ডিভাইসকে সুরক্ষিত করতে নিতে পারেন। এখনই 5টি প্রতিরক্ষামূলক ব্যবস্থা আবিষ্কার করুন
বিঘ্নিত জরুরি কল এবং লুমিং রিস্টার্ট লুপ
এই ধরনের একটি বার্তার অবিলম্বে পরিণতি হল এক থেকে দুই সেকেন্ডের জন্য টেলিফোন পরিষেবার একটি সংক্ষিপ্ত ক্ষতি, যার ফলে সক্রিয় কথোপকথনগুলি বাতিল হয়ে যায়। Blaszczyk তার গবেষণায় উল্লেখ করেছেন যে বারবার আক্রমণ জরুরি কলগুলিকেও অসম্ভব করে তুলতে পারে। পরীক্ষার পরিবেশের বাইরে প্রকৃত আক্রমণ এখনও রেকর্ড করা হয়নি।
যাইহোক, মোবাইল ফোন অপারেটরদের দ্বারা বারবার ডেলিভারির প্রচেষ্টার ফলে পরীক্ষায় এক সপ্তাহ পর্যন্ত বিভ্রাট দেখা দেয়। যদি প্রায় 20টি এই ধরনের বার্তা আসে, স্মার্টফোনটি একটানা রিস্টার্ট লুপে যেতে পারে। টেস্ট রানে, যখন দ্রুত ধারাবাহিকভাবে প্রায় 30টি বার্তা আসে, তখন কাঁচা এসএমএসের জন্য SQLite ডাটাবেসটি দূষিত হয়ে পড়ে, যার ফলে প্রতিবার এটি চালু হওয়ার সময় ডিভাইসটি ক্র্যাশ হয়ে যায়।
এই ধরনের ক্ষেত্রে, Android এর নিরাপত্তা ব্যবস্থা, RescueParty, প্রায় প্রতি 90 সেকেন্ডে পুনরুদ্ধারের প্রচেষ্টা শুরু করে এবং সমস্ত ডেটা মুছে ফেলার জন্য রিকভারি মোডে থাকা ব্যবহারকারীদের অনুরোধ করে।
বিশেষজ্ঞরা দৃঢ়ভাবে এই মুছে ফেলার বৈশিষ্ট্যটি নির্বাচন করার বিরুদ্ধে পরামর্শ দেন কারণ এটি প্রায়শই সমস্যার সমাধান করে না যদি ক্যারিয়ার দূষিত বার্তাগুলি পুনরায় বিতরণ করে। Blaszczyk এর মতে, Android Debug Bridge (ADB) ব্যবহার করে কম্পিউটারের সাথে সংযোগের মাধ্যমে পুনরুদ্ধার করা সম্ভব।
শ্রেণীবিভাগ এবং অসম্পূর্ণ রেজোলিউশন নিয়ে বিতর্ক
সমস্যাটি কীভাবে ঠিক করা যায় এবং শ্রেণিবদ্ধ করা যায় তা নিয়ে মতবিরোধ রয়েছে। Google 29 অক্টোবর, 2026-এ রিপোর্টটিকে একটি অ-নিরাপত্তা ত্রুটি হিসাবে শ্রেণীবদ্ধ করে এবং একটি আনুষ্ঠানিক ত্রুটি সংশোধন ছাড়াই সমস্যাটি বন্ধ করে দেয়, যার কারণে প্রাথমিকভাবে কোনও অফিসিয়াল CVE শনাক্তকারী নিয়োগ করা হয়নি।
আইটি সিকিউরিটি ইন্ডাস্ট্রির কিছু অংশে, তবে, ত্রুটিটি শনাক্তকারী CVE-2026-58882-এর অধীনে গুরুতরতা স্তরের সাথে তালিকাভুক্ত করা হয়েছে এবং ভবিষ্যতের নিরাপত্তা বুলেটিনগুলির বিষয় হিসাবে বিবেচিত হয়। আক্রমণের ধারণার একটি প্রমাণও GitHub-এ সর্বজনীনভাবে উপলব্ধ করা হয়েছিল।
বিজ্ঞাপন
একটি পুরানো সিস্টেম আপনার নিজস্ব ডেটার জন্য হুমকি সৃষ্টি করতে পারে কারণ অপরাধীরা বিশেষভাবে পরিচিত দুর্বলতাগুলিকে কাজে লাগায়৷ এই বিনামূল্যের প্রতিবেদনে জানুন কিভাবে আপনি সঠিক আপডেটের মাধ্যমে আপনার স্মার্টফোনকে স্থায়ীভাবে ম্যালওয়্যার এবং অননুমোদিত অ্যাক্সেস থেকে রক্ষা করতে পারেন। বিনামূল্যে অ্যান্ড্রয়েড আপডেট গাইড ডাউনলোড করুন
কোড লেভেলে, 15 জুন, 2026 সাল থেকে Google-এর একটি ফিক্স ইতিমধ্যেই AOSP শাখায় বিদ্যমান রয়েছে, যা রানটাইম ত্রুটিগুলি ধরে এবং কাঁচা SMS ডাটাবেস থেকে বার্তাটি সরিয়ে দেয়। এই প্রতিশ্রুতিটি 5 আগস্ট, 2026-এ চেক-ইন করা হয়েছিল এবং অক্টোবর 2026-এ অ্যান্ড্রয়েড ওপেন সোর্স প্রকল্পে সর্বজনীনভাবে প্রতিশ্রুতিবদ্ধ হয়েছিল।
অ্যান্ড্রয়েড 14 থেকে অ্যান্ড্রয়েড 17 সংস্করণের জন্য, অক্টোবর 2026-এর নিরাপত্তা আপডেটে বাগ ফিক্সের পরিকল্পনা করা হয়েছে, যদিও পিক্সেল সিরিজের বাইরের নির্মাতারা প্রায়ই সপ্তাহ বা মাসের বিলম্বের সাথে গ্রাহকদের শেষ করার জন্য প্যাচগুলি বিতরণ করে।
Blaszczyk এর মতে, অ্যান্ড্রয়েড 12 এবং 13 আর একটি অফিসিয়াল প্যাচ পাবে না এবং তৃতীয় পক্ষের নির্মাতারা তাদের নিজস্ব আপডেট প্রদান না করা পর্যন্ত দুর্বল থাকবে। 2G ডাউনগ্রেডের বিরুদ্ধে Android 17-এ নতুন সুরক্ষাগুলি SMS পরিষেবাতে নির্দিষ্ট প্রক্রিয়াকরণ ত্রুটিকে ব্লক করে না।
