Данный баг означает, что 55% Android-телефонов уязвимы. Патч доступен.
Исследователи безопасности из IBM нашли способ эксплуатации уязвимости в Android, которая ставит под угрозу более 55% телефонов.
Эксплуатируя обнаруженную уязвимость, команда X-Force Application Security Research Team из IBM показала, что может повысить привилегии в скомпрометированном телефоне, и выполнить на нем код, в том числе взяв под контроль легитимные приложения.
«В двух словах, хакеры могут использовать эту уязвимость выполнения произвольного кода, чтобы позволить вредоносному приложению, без каких-либо привилегий, стать супер приложением и помочь хакерам взять устройство под контроль», в соответствии с блогом X-Force.
В последнее время, в Android были найдены и другие уязвимости, такие как StageFright, и Google даже запустила программу по предоставлению ежемесячных обновлений для устройств.
Новая уязвимость, обнаруженная исследователями IBM, существует в Android 4.3-5.1 (Jelly Bean, Kitkat и Lollipop). Патч доступен, но его распространение зависит от сервис-провайдеров. Исследователи представили документ, описывающий уязвимость, на USENIX WOOT ’15 в Вашингтоне, но не раскрыли код эксплойта.
«Наша команда не обнаружила данный эксплойт в дикой природе, но он показывает, что при правильном применении средств, вредоносные приложения имеют возможность обойти даже самых осведомленных в безопасности пользователей», пишет исследователь IBM Ор Пелеш.
Уязвимость найдена в OpenSSLX509Certificate, и может быть использована по каналу связи между приложениями и сервисами. «Поскольку информация разделяется, а затем обратно собирается вместе, вредоносный код вставляется в этот поток, использует уязвимость на другом конце, а затем берет под контроль устройство», пишет он.
Доказательство правильности концепции использует команды оболочки, чтобы украсть данные из приложений на устройстве жертвы и на некоторых устройствах, в которых нападавшие смогли установить вредоносные модули ядра. Нападение заменяет реальное приложение на поддельное, которое крадет данные. В демо-версии, исследователи заменили приложение Facebook.
Исследователи также показали комплекты разработчиков стороннего программного обеспечения для Android, которые позволяют выполнить произвольный код в приложениях, написанных с использованием этих комплектов. Такие приложения могут раскрыть данные пользователя атакующим.
USD 92.51
ЕВРО 98.91
