Джошуа Дж. Дрейк (@jduck), заглянул в самые глубокие уголки кода ядра Android и обнаружил 7 критических уязвимостей, данные уязвимости подвержены более 95% устройств (примерно 950 миллионов устройств). Отчёт Дрейка будет представлен на конференциях Black Hat USA 5 августа и CON 23 7 августа. Найдено множество методов удалённого запуска кода, худшие из которых не требуют вмешательства пользователя.
Злоумышленникам только нужен ваш номер мобильного телефона, с помощью которого они могут удаленно выполнить произвольный код через специально созданный файл доставленным через ММС. Для более успешной и скрытной атаки можно удалить сообщение прежде чем пользователь его заметит. Эти уязвимости являются крайне опасными, потому что они не требуют, чтобы жертва предпринимать никаких действий. В отличие от фишинга, где пользователь должен открыть файл или ссылку.
Эти скриншоты были сделаны на Nexus 5 где установлена последняя версия, Android 5.1.1.
Подвержены устройства с Android от версии 2.2 до версии 4.1.
Список зарегистрированных CVEs:
- CVE-2015-1538
- CVE-2015-1539
- CVE-2015-3824
- CVE-2015-3826
- CVE-2015-3827
- CVE-2015-3828
- CVE-2015-3829
Компания Google в течение нескольких часов выпустила фикс данных ошибок, но проблема осложняется тем, что для исправления данных уязвимостей необходимо обновление прошивки, а оно выпускается производителями устройств как правило только для более новых моделей.
Комментарии (32)
zorgrhrd
29.07.2015 01:02+1Можно не ждать обновления и отключить Hangouts через настройки. Полагаю это исправит проблему.
yumitsu
29.07.2015 01:03+5А можно просто под каток положить. Нет телефона — нет проблемы :)
Fedcomp
29.07.2015 07:13-1Зачем так серьезно? у каждой мобильной ОС бывают свои косяки.
ls1
29.07.2015 07:22+4В данном случае проблема больше не в мобильной OS, в конце концов гугл то уже патч выпустил, проблема в том, что вендоры типа самсунга и прочих не спешат обновлять старые прошивки, практика распространения обновлений безопасности отсутствует как класс.
zorgrhrd
29.07.2015 09:18-1Ну мессенджер есть чем заменить, отключение Hangouts явно не такая большая проблема, чтобы сравнивать ее с таким брутальным решением.
Invision70
29.07.2015 02:57+1<тут должно быть изображение в тему, но меня отхабрили/>
habrastorage.org/files/3b9/112/166/3b91121664fa418a990503fd71609f24.jpgInvision70
29.07.2015 10:02-5Хабр ты жесток :D
khim
29.07.2015 13:37+4Заметьте: Хабр, а не хабрапользователи. «Нельзя голосовать за пользователей, у которых нет размещённых публикаций» обозначает ровно то, что написано: голосовать «за» нельзя, «против» — можно. Пока не опубликуете статью — так и будете думать, что весь мир против вас :-)
Aingis
29.07.2015 14:17+6Принцип 20/80 никто не отменял. На 20% писателей всегда будет 80% читателей. Можно считать что это константа. ТМ просто гробит сообщество, убивая обсуждения (потому как проще не высовываться, а те кто высунулся получите ограничение на комментарий раз в час/день практически автоматом). Соответственно, политика ресурса в общем привела к тому, что нет смысла писать на Хабр кроме как для пиара компаний. Это наглядно можно видеть в блоге Яндекса, в котором только и остались технические статьи хорошого уровня, но в Яндексе есть редактура и корректура, а простым писателем никто не поможет, а для написания хорошей статьи и так надо угробить много времени, которое можно потратить на другие полезные дела. Это уже обсуждалось тут: habrahabr.ru/post/256203
P.S. Видите как ТМ вас не уважают как читателей — даже ссылки даже на хабр не работают.
P.P.S. Можете не отвечать — из-за упомянутых выше ограничений обсуждения не выйдет.
webkumo
29.07.2015 17:01Кхм… достаточно одной фразы в высоко-полемичном топике, чтобы получить разом -30 к карме и отхабриться. Наличие одной статьи — не защищает.
khim
29.07.2015 17:34+2Если у вас нет ни одной статьи, то голосовать «против» Хабр даёт, а «за» — нет. Так что для пользователей, что-то опубликовавших карма отражает отношение к вам хабрапользователей, а вот карма людей, которые статей не писали вообще мало что отражает.
isden
29.07.2015 10:20+2Для отключения достаточно просто сделать там log out? Или оно где-то глубже совсем отключается?
yumitsu
29.07.2015 01:02Вторая критическая уязвимость в андроиде за последние 3 месяца. Что-то зачастили.
Lerg
29.07.2015 01:05+3Просто отключите MMS в настройках Messenger и/или Hangouts.
Gordon01
29.07.2015 07:59У меня они даже не настроены…
FSA
29.07.2015 11:37+1Тоже никогда не понимал фишки MMS даже со времён своего первого Siemens M55. Проще и дешевле было почтой отправить/принять через GPRS. Ну а сейчас с 3G/4G окончательно смысл пропал, т.к. у большинства знакомых не только почта есть, но и всякие Watsapp, Viber, Skype и пр.
TheOnlyOne
29.07.2015 08:28заглянул в самые глубокие уголки кода ядра Android и обнаружил 7 критических уязвимостей
Ну, если MMS обрабатываются ядром андроида (в чем я лично сомневаюсь), то уязвимостей там должно быть немерено.
По теме: где код, где эксплоит? На скрине только какое то невнятное видео с котом, может это оно вирусное?
chelaxe
29.07.2015 08:39+3тут вот подробнее
TheOnlyOne
29.07.2015 08:56Ага, спасибо, почитал. По идее libstagefright.so портируется каждым производителем чипа самостоятельно, нужно ждать анонса насколько обширна данная уязвимость в реалиях разнообразных платформ.
mynameisdaniil
29.07.2015 09:56Ну а так как производителей чипов не много не приходится сомневаться, что затронет «всех».
xRay
29.07.2015 10:36+2Пока ждем патч.
Если в Вашем Android смартфоне СМС-приложении не имеет опции отключения автозагрузки MMS, то поставьте Приложение «Чат» от Google https://play.google.com/store/apps/details?id=com.google.android.apps.messaging. И укажите его приложением по-умолчанию для СМС, В нем можно отключить автозагрузку содержимого MMS.
achekalin
29.07.2015 11:42+1А мой любимый сотовый оператор имеет политику «не доставляем MMS, пока не скажешь, что можешь их читать». Для потверждения надо послать пустую MMS на какой-то их служебный номер — и у них ставится для тебя галочка, что ты, да, MMS-способный. Галочка эта, кстати, даже сбрасывается при смене аппарата, т.е. разрешил для одного телефона, переставил симку из него в новый девайс — опа, а MMS «не ходять опять!» Про сброс, правда, не поручусь, может, это и домыслы.
На фоне того, что последние годы (!) я MMS ни разу ни в одном новом устройстве своем не использовал и даже не пробовал настроить (может, как раз, и работает все, но кто знает?), не знаю ни цены на пользования ими, ни вообще как часто другие пользуются такой технологией — чувствую себя хоть и в безопасности, но даже как-то неуютно, что такую опасную технологию, и даже не использую, почему-то :)
Мне вообще кажется, что это сообщение об опасности MMS выглядит как вирусная реклама MMS в принципе. SMS штука хорошая тем, что работает у всех, даже когда никакого GPRS нет в помине, и даже когда сотовый телефон хотя бы у одной из сторон переписки древний, как стандарт GSM. А когда трафик есть (а без него как MMS полетит?), если с новизной техники все в порядке, то Viber/WhatsApp/Skype/впиши-что-хочешь ставится быстрее, чем настраивается MMS. Уверен, операторы переживают :)
Wernisag
29.07.2015 16:45+1Мне как то девушка, лет 7 назад прислала свою фотографию, сделанную на 0,3mpx камеру… С тех пор не видел ни одной MMS, ни у себя, ни у кого либо другого
AMDev
29.07.2015 19:30+1Зато в CyanogenMod все быстрее:
The following CVE's have been patched in CM12.0 and 12.1 nightlies for a couple weeks. If you haven't updated already, we strongly encourage you to do so.
mynameisdaniil
Это прекрасно. Прекрасно, конечно, когда яблоко падает от просмотра юникод-символов, но это намного лучше. Смотрю на свой телефон и думаю — как же теперь жить? Вайпнуть поскорее, чтобы врагу ничего не досталось?