Критическая уязвимость в Android, позволяющая получить контроль через отправку MMS
28 июля 2015 года
Специализирующаяся на компьютерной безопасности компания Zimperium zLabs объявила о выявлении критической уязвимости в коде обработки мультимедийных данных платформы Android, позволяющей организовать выполнение кода через отправку сообщений MMS или Google Hangout. По предварительной оценке проблеме подвержено около 95% имеющихся в обиходе Android-устройств, т.е. потенциальными жертвами уязвимости являются 950 млн пользователей. Касающиеся уязвимости детали планируется объявить на конференциях Black Hat USA и DEF CON 23, которые пройдут 5 и 7 августа.
Проблема может быть эксплуатирована в момент начальной обработки сообщения без необходимости выполнения пользователем каких-либо действий. Для получения контроля над устройством достаточно знать номер мобильного телефона жертвы. В некоторых случаях атакующий может удалить эксплуатирующее уязвимость сообщение, при этом останется лишь уведомление о его получении. Причиной уязвимости является выход за границы буфера в библиотеке обработки мультимедийных данных, который можно инициировать при обработке ряда популярных форматов. Кроме передачи сообщений атака также может быть совершена и через другие приложения, в том числе при открытии специально оформленных страниц в web-браузере.
Проблеме присвоено кодовое имя Stagefright и она оценивается как самая опасная уязвимость в Android за всю историю существования платформы. Уязвимость проявляется во всех версиях Android, начиная с выпуска 2.2. На устройствах с Android 4.1 "Jelly Bean" и более новыми выпусками выполнение кода злоумышленника будет ограничено sandbox-окружением приложения и связанным с ним полномочиями (чтение и отправка сообщений, доступ к адресной книге). В старых версиях Android, которые составляют 11% от общего числа используемых устройств, атакующий может получить полный доступ к системе. Для выхода из sandbox-окружения и повышения своих привилегий требуется задействование дополнительных уязвимостей, например, уже используемых в локальных эксплоитах PingPongRoot, Towelroot и put_user.
Несмотря на то, что компания Google намерена в течение считанных часов представить патчи с исправлением уязвимости, проблема усугубляется тем, что для защиты требуется обновление прошивки. Подобные обновления выпускаются производителями с большим запозданием и только для актуальных моделей устройств. Пользователи смартфонов, выпущенных более 18 месяцев назад, скорее всего останутся без исправления. Для того, чтобы избежать одного из проявлений уязвимости рекомендуется использовать браузер Firefox, в котором данная уязвимость уже устранена начиная с выпуска Firefox 38 (вероятно, имеется в виду уязвимость CVE-2015-2717, которая могла приводить к краху при разборе некорректных мета-данных в файлах MP4). Проблема также устранена в альтернативной сборке PrivatOS 1.1.7 и в ночных сборках CyanogenMod 12.0 и 12.1 (для CM 11 исправление ожидается в конце недели).
Источники
править
Любой участник может оформить статью: добавить иллюстрации, викифицировать, заполнить шаблоны и добавить категории.
Любой редактор может снять этот шаблон после оформления и проверки.
Комментарии
Если вы хотите сообщить о проблеме в статье (например, фактическая ошибка и т. д.), пожалуйста, используйте обычную страницу обсуждения.
Комментарии на этой странице могут не соответствовать политике нейтральной точки зрения, однако, пожалуйста, придерживайтесь темы и попытайтесь избежать брани, оскорбительных или подстрекательных комментариев. Попробуйте написать такие комментарии, которые заставят задуматься, будут проницательными или спорными. Цивилизованная дискуссия и вежливый спор делают страницу комментариев дружелюбным местом. Пожалуйста, подумайте об этом.
Несколько советов по оформлению реплик:
- Новые темы начинайте, пожалуйста, снизу.
- Используйте символ звёздочки «*» в начале строки для начала новой темы. Далее пишите свой текст.
- Для ответа в начале строки укажите на одну звёздочку больше, чем в предыдущей реплике.
- Пожалуйста, подписывайте все свои сообщения, используя четыре тильды (~~~~). При предварительном просмотре и сохранении они будут автоматически заменены на ваше имя и дату.
Обращаем ваше внимание, что комментарии не предназначены для размещения ссылок на внешние ресурсы не по теме статьи, которые могут быть удалены или скрыты любым участником. Тем не менее, на странице комментариев вы можете сообщить о статьях в СМИ, которые ссылаются на эту заметку, а также о её обсуждении на сторонних ресурсах.
