Увеличение gda / Flickr
Изследователите разкриха уязвимост за нулев ден в Операционна система Android, която дава голям тласък на нападателите, които вече имат задържане на пръста на засегнатото устройство.
Недостигът на ескалация на привилегиите се намира в драйвера на V4L2, които Android и други Linux-базирани ОС използват за улавяне в реално време видео. Уязвимостта е резултат от „липса на валидиране на съществуване на обект преди извършване на операции върху обект “, заявиха изследователи с Zero Day Initiative на Trend Micro публикация в блога, публикувана в сряда. Нападатели, които вече имат ненадежден код, работещ с ниски привилегии на устройство, може да се възползва бъгът за достъп до привилегировани части от ядрото на Android. Най- оценка на тежестта се оценява на 7,8 от възможните 10 точки.
Съвременните операционни системи стават все по-трудно да се правят компромиси последните години благодарение на експлоатационните смекчения, които предотвратяват ненадежден код от взаимодействие с твърди дискове, ядра и други чувствителни ресурси. Хакерите са отговорили чрез свързване на две или повече подвизи заедно. Например, може да препълни буфер позволете на атакуващия да зареди злонамерен код в паметта и недостатъкът на ескалация на привилегии дава на кода привилегиите, от които се нуждае инсталирайте постоянен полезен товар.
Допълнителна информация
Първо, приложенията за Android злоупотребяват със сериозна грешка „Мръсна крава“ в задната част телефониТежният резултат от всичко това: бъгове при привилегиите са все по-ценни, както демонстрира т. нар. Мръсна крава открита уязвимост, засягаща Linux през 2016 г. До дни от откривайки се, бъгът за привилегирована ескалация беше използван root Android устройства. Година след като се появи на бял свят, Мръсна крава беше да бъдат експлоатирани от злонамерени приложения за заобикаляне на защитите вграден в Android.
„Тази уязвимост е подобна на мръсната крава по това, че е в основен код на ядрото, така че ще се прилага за всички Android устройства, ” Кристоф Хебейзен, директор на разузнавателната сигурност в мобилни телефони доставчик на сигурност Lookout, заяви пред Ars. „Обаче експлоатация, базирана на тази уязвимост не би била толкова елегантна, колкото DirtyCow и вероятно не е толкова надежден. ”
Въз основа на консултативната информация Hebeisen заяви, че се появяват само приложения или код, който вече има достъп до подсистемата V4L, използвана от прикрепената камера може да експлоатира недостатъка. Мръсна крава, за разлика от тях, пребивава в основна функция за управление на паметта. Какво още, експлоатирането на недостатъка беше сравнително лесно, черта, която правеше подвизи високо надежден.
От публикацията в сряда в ZDI се казва, че изследователите са уведомили Google за уязвимост в средата на март и тази до края на юни, компанията беше потвърдил, че недостатъкът ще бъде отстранен. Когато ZDI попита Google за актуализация миналия месец, Google отговори, че няма да има допълнителни актуализации. Google пусна бюлетина за сигурност на Android за Септември във вторник и недостатъкът все още не беше отстранен. Googleне отговори на заявка за коментар.
„Като се има предвид естеството на уязвимостта, единственият забележим стратегията за смекчаване на последиците е ограничаване на взаимодействието със услугата, ” ZDI изследователи писаха във публикацията от вторник. „Само клиентите и сървъри, които имат законни процедурни отношения с услугата трябва да бъде разрешена да комуникира с нея. ”
В имейл директорът на ZDI Брайън Горенк каза, че потребителите на Android трябва ограничете приложенията, които инсталират и гарантирайте, че приложенията идват само от Google Play. Той каза, че ZDI потвърждава, че недостатъкът е засегнат най-късно версии на Android.
