Izgleda, da Stagefright zopet udari.
Varnostna napaka, ki se je razširila na telefone z različicami operacijskega sistema Android OS med 2.2 in 4, je zdaj vztrajala pri napadu na naprave z operacijskim sistemom Android 5.0 ali višjim.
Joshua J. Drake, podpredsednik za raziskave Zimperium zLabs, je v Androidu našel drugo varnostno vprašanje, imenovano Stagefright 2.0. Drake trdi, da se lahko zgodita dve ranljivosti, ki se lahko pojavita pri obdelavi posebej oblikovanih MP3 avdio in MP4 video datotek.
$config[code] not foundOčitno je v MP3 in MP4 datotekah funkcija, ki omogoča oddaljeno izvajanje kode (RCE). To v bistvu pomeni, da lahko okužene datoteke MP3 in MP4 dajo nekomu dostop do opravila na vašem telefonu Android. Tudi preprosto predvajanje zlonamerne pesmi ali videa lahko ogrozi vaš telefon.
Drake v svojem blogu pravi, da je najbolj ranljiv pristop do telefona Android prek spletnega brskalnika, s tremi različnimi načini, kako lahko heker izkoristi varnostne napake.
Prvič, napadalec lahko poskusi uporabnika Androida najti URL, ki bo resnično vodil do nadzorovane spletne strani napadalca. To lahko storite na primer v obliki oglaševalske akcije. Ko je vpleten, bi bila žrtev izpostavljena okuženi datoteki MP3 ali MP4.
V isti smeri lahko napadalec uporabi aplikacijo drugega izdelovalca, kot je multimedijski predvajalnik. V tem primeru je aplikacija tista, ki vsebuje eno od teh zlonamernih datotek.
Toda obstaja tudi tretja možnost, ko lahko heker preide na drugačno pot.
Recimo, da uporabnik hacker in Android uporablja isti WiFi. Haker potem ne bi bilo treba uporabiti uporabnika, da bi obiskal URL ali odprl aplikacijo tretje osebe. Namesto tega bi morali samo izkoristiti izkoristek v uporabnikovem nezaščitenem omrežnem prometu, ki ga uporablja brskalnik.
Prvotna hrošča Stagefright, ki jo je Drake odkril tudi v začetku tega leta, je odprla Android telefone za ranljivost s sporočili, ki vsebujejo zlonamerno programsko opremo.
Če je heker poznal vašo telefonsko številko, lahko pošljete besedilno sporočilo, ki vsebuje zlonamerno večpredstavnostno datoteko. Besedilo lahko hekerju omogoči dostop do podatkov in fotografij uporabnika ali celo omogoči dostop do funkcij, kot je fotoaparat ali mikrofon telefona.
Uporabniki bi lahko bili prizadeti in ga sploh ne bi poznali.
Popravek je bil izdan za izvorno napako Stagefright, ne predolgo po odkritju ranljivosti.Vendar je prišlo do nekaj težav z obližem. Nekatera poročila so navedla, da lahko v nekaterih primerih pride do prekinitve telefonov, ko se odpre večpredstavnostno sporočilo.
Drake pravi, da je obvestil Android o grožnji in izjavil, da se je Android hitro premaknil na sanacijo, čeprav še ni zagotovil številke CVE za sledenje tej zadnji izdaji. Google vključuje popravke za Stagefright v varnostnem biltenu Nexus, ki prihaja ta teden.
Če niste prepričani, ali je vaša naprava Android ranljiva, lahko prenesete aplikacijo Zimperium Inc. Stagefright Detector, da preverite, ali so ranljivosti.
Android Lollipop fotografija preko Shutterstocka
Več v: Google 2 Komentarji ▼
