Нові критичні уразливості в Android: У чому проблема, і як захиститися



Дослідники інформаційної безпеки виявили ряд серйозних вразливостей в одному з компонентів ядра мобільної ОС Android під назвою Stagefright (бібліотека для роботи з файлами мультимедіа, наприклад PDF). Першим про проблеми в компоненті Stagefright заявив дослідник з компанії Zimperium Labs Джошуа Дрейк (Joshua J. Drake). Крім того, про виявлення серйозної уразливості в Android заявила компанія TrendMicro.

Stagefright

Дослідник опублікував експлойт, що демонструє атаку з допомогою злісного MMS-повідомлення — для її здійснення зловмисникові потрібно знати лише номер телефону жертви. При цьому користувачеві не потрібно навіть здійснювати ніяких дій з повідомленням (відкривати файл, кликати по посиланнях і т. п.), шкідливий код виконується автоматично.



Як повідомляється в пості в блозі ZImperium, хакери можуть навіть видалити саме повідомлення до того, як пользватель його побачить (в такому випадку смартфон покаже тільки оповіщення про вхідному повідомленні).



Список уразливих пристроїв

За словами Дрейка, незважаючи на наявність в Android спеціальної пісочниці безпеки, яка блокує для більшості додатків можливість доступу до даних користувача інших програм, можливе створення експлойтів, які отримують доступ до аудіо та відео-потоків смартфона, а також до внутрішнього сховища.

Уразливості схильні телефони під управлінням Android версії 2.2 до версії 5.1 (за оцінками ЗМІ, всього уразливі до 950 мільйонів смартфонів і планшетів по всьому світу).

пише видання Ars Technica, вразливість Stagefright також зачіпає браузер Firefox на всіх платформах, крім Linux (включаючи Firefox OS). Редакція зв'язалася з Джошуа Дрейком, який підтвердив наявність проблем:

Якщо ви встановите Firefox 38, то через Firefox провести на вас атаку більше не вдасться. Однак, якщо ви завантажите злоблива відео через браузер з тегом
<video width="300" height="150">
, а не станете його програвати, воно все одно завантажить шкідливий Android-код.
Примітно, що Дрейк став першим, хто повідомив про проблеми безпеки в Stagefright (він планує детальніше розповісти про свої знахідки на конференції DEFCON 7 серпня), але не єдиним, хто їх знайшов. даними Forbes, 36-річний дослідник з Москви Євген Легеров також виявив дві вразливості нульового дня в цьому компоненті. Google випустила ряд патчів для партнерів (один, два, три), виправляють знайдені Легеровым уразливості.

Джошуа Дрейк передав інформацію про уразливості в Google (разом з можливими патчами), і компанія виплатила йому винагороду в розмірі $1,337 (оповіщення було відправлено до офіційно запуску bug bounty-програми для Android). Якби інформація про уразливість була передана продавцям експлойтів, то дослідник міг би розраховувати на суму в районі $100 тисяч — компанія Zerodium у своєму Twitter заявила, що готова платити за подібні уразливості саме стільки:



Поки що патчі отримали тільки Silent Circle Blackphone і пристрої з прошивкою Cyanogen, виявлені Євгеном Легеровым уразливості також додані набір експлойтів VulnDisco (доступ до нього є в урядових і комерційних організацій, що використовують інструмент для тестування на проникнення Canvas). Легеров повідомив журналістам, що його команда надає замовникам експлойтів для внутрішнього тестування, тому їх функціональність урізана і не дозволяє проводити повномасштабні реальні атаки.

Фахівці Zimperium також рекомендують користувачам Android оновити ОС до останньої версії (хоча і вказують на той факт, що невідомо, коли з'явиться патч, і буде він для більш старих пристроїв — для них рекомендується встановлювати прошивку Cyanogen), відключити автоматичне завантаження MMS (для Hangouts і «дефолтного» програми для SMS).

Атака на медіасервер

Крім уразливості Stagefright, про виявлення серйозної помилки безпеки у Android (версії, починаючи з 4.3 Jelly Bean до 5.1.1 Lollipop, тобто більше половини всіх Android-пристроїв у світі) заявила компанія TrendMicro. Экслуатация цієї проблеми можливе за допомогою установки на пристрій шкідливого додатка (викликає падіння операційної системи) або з допомогою перенаправлення користувача на підготовлений зловмисниками сайт.



Уразливість виявлена в сервісі медіасервера, який Android використовує для індексації мультимедійних файлів, збережених на пристрої. Сервіс не може коректно обробити злоблива відео (зазвичай має розширення .mkv) з допомогою контейнера Matroska, що призводить до падіння всієї операційної системи.TrendMicro опублікувала в блозі код файлу
frameworks/av/media/libstagefright/matroska/MatroskaExtractor.cpp
, що демонструє помилку:

865 size_t offset = 1;
866 size_t len1 = 0;
867 while (offset < codecPrivateSize && codecPrivate[offset] == 0xff) {//codecPrivate is controlled by the avi file
868 len1 += 0xff;
869 ++offset;
870 }
871 if (offset >= codecPrivateSize) {
872 return ERROR_MALFORMED;
873 }
874 len1 += codecPrivate[offset++];
875
876 size_t len2 = 0;
877 while (offset < codecPrivateSize && codecPrivate[offset] == 0xff) {
878 len2 += 0xff;
879 ++offset;
880 }
881 if (offset >= codecPrivateSize) {
882 return ERROR_MALFORMED;
883 }
884 len2 += codecPrivate[offset++];
885
886 if (codecPrivateSize < offset + len1 + len2) {//len1 or len2 maybe 0xffffffff, then integer overflow happened
887 return ERROR_MALFORMED;
888 }
889
890 if (codecPrivate[offset] != 0x01) {
891 return ERROR_MALFORMED;
892 }
893 meta->setData(kKeyVorbisInfo, 0, &codecPrivate[offset], len1);//crash in here

Співробітники TrendMicro створили спеціальний додаток, яке використовує цю вразливість. Відео нижче демонструє атаку на смартфон з його допомогою:

Вдалося їм відтворити і атаку за допомогою URL. Для цього був створений спеціальний сайт, в HTML-код якого вбудовано злоблива відео. Під час завантаження сайту браузері Chrome спостерігався той же ефект:



Дослідники заявляють про те, що захиститися від даної уразливості можна з допомогою спеціальних захисних додатків для мобільних пристроїв.

На конференціях з інформаційної безпеки дослідники Positive Technologies також демонстрували результати дослідження захищеності 4G-комунікацій і SIM-карт (їх теж можна зламати).

Під час пройшов у травні в Москві форуму Positive Hack Days також проводився конкурс по злому мобільного зв'язку MiTM Mobile — розбір його завдань ми публікували на Хабре (деякі відвідувачі заходу отримали повідомлення про злом своїх пристроїв). Ось тут представлена запис вебінару по даній темі.

Джерело: Хабрахабр

0 коментарів

Тільки зареєстровані та авторизовані користувачі можуть залишати коментарі.