PT-2025-36080
CVE-2025-48561
·
تاريخ النشر
2025-09-01
·
تاريخ التحديث
2026-03-18
الوصف من
CVSS 3.1
5.5
متوسطةالمقاييسAV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Android من 13 إلى 16
Samsung Galaxy S25
أجهزة Google Pixel (6 إلى 9)
الوصف
هجوم جديد عبر قناة جانبية، يُعرف باسم Pixnapping (CVE-2025-48561)، يتيح للتطبيقات الخبيثة على نظام أندرويد تسريب المعلومات المعروضة من قبل تطبيقات أو مواقع أخرى بشكل خفي. يستغل الهجوم واجهات برمجة تطبيقات (APIs) أندرويد وقناة جانبية في الأجهزة تؤثر على معظم أجهزة أندرويد الحديثة. ويمكن استخدامه لسرقة البيانات الحساسة، مثل رموز المصادقة الثنائية، من تطبيقات مثل Google Authenticator وGmail وSignal وVenmo وGoogle Maps.
يتضمن الهجوم تطبيقًا ضارًا يجبر التطبيق المستهدف على عرض المحتوى، وتكديس أنشطة شبه شفافة، وقياس وقت ضغط وحدة معالجة الرسومات (GPU) لاسترداد البيانات الحساسة دون الحاجة إلى أذونات خاصة. تستغل هذه الثغرة قناة جانبية تُعرف باسم GPU.zip، والتي تم الكشف عنها سابقًا في سبتمبر 2023. أثبت الباحثون فعالية الهجوم على أجهزة Google وSamsung، حيث نجحوا في إعادة بناء البيانات الحساسة المعروضة على الشاشة.
أصدرت Google تصحيحًا جزئيًا في سبتمبر 2025، لكن الباحثين وجدوا طريقة للتحايل عليه، ومن المتوقع إصدار تصحيح كامل في تحديث أمان Android لشهر ديسمبر 2025. حاليًا، لا توجد استغلالات معروفة في الطبيعة.
يعمل الهجوم من خلال استغلال وظيفة الضغط في وحدات معالجة الرسومات المدمجة الحديثة (iGPU) لتنفيذ هجمات سرقة البكسلات من خلال
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾