Главная > Google > Недавние уязвимости обнаруженные в платформе Android

Недавние уязвимости обнаруженные в платформе Android

Не так давно практически во всех средствах массовой информации появились статьи с пугающими названиями: «Обнаружены уязвимости практически во всех телефонах на платформе Android» — аааа мы все умрем. Что же случилось?

Android-logo

Нашла уязвимость Stagefright компания Zimperium в рамках программы Android Security Rewards Program (программа, которая позволяет хакерам зарабатывать на найденных уязвимостях). Ошибка обнаружена в MMS модуле. Злоумышленник создает  MMS, к которому крепится мультимедийный файл с вредоносным кодом, в результате чего хакер получает доступ к микрофону, камере, внешнему накопителю данных, а в зависимости от модели смартфона даже Root-доступ. Но самым неприятным является то, что вредоносный код может быть внедрен и активирован даже без активных действий со стороны пользователя: теоретически заражение смартфон может произойти на инфицированном сайте при просмотре встроенного видеоконтента.  Как утверждает Google в своем блоге — подвержены атаке около 0.15% всех устройств по предварительным подсчетам (а это около миллиарда устройств).

Google уже сообщила в своем блоге

The first security update of this kind began rolling out today, Wednesday August 5th, to Nexus 4, Nexus 5, Nexus 6, Nexus 7, Nexus 9, Nexus 10, and Nexus Player. This security update contains fixes for issues in bulletins provided to partners through July 2015, including fixes for the libStageFright issues. At the same time, the fixes will be released to the public via the Android Open Source Project. Nexus devices will continue to receive major updates for at least two years and security patches for the longer of three years from initial availability or 18 months from last sale of the device via the Google Store.

Если кратко — то для устройств Nexus 4, Nexus 5, Nexus 6, Nexus 7, Nexus 9, Nexus 10, and Nexus Player выйдет обновление закрывающую уязвимость уже 5 августа 2015 и начнет постепенно раздаваться через OTA обновление.

В след за Google подобный пресс-релиз выпустил и Samsung — достаточно крупный игрок на рынке мобильных телефонов. Конкретных сроков не сказал, только как всегда — скоро, ждите

Samsung is currently in conversation with carriers around the world to implement the new approach. In collaboration with carriers and partners, more details about the specific models and timelines will be released soon

Google также указала, что Android будет обновляться ежемесячно и для него будут регулярно выходить обновления, закрывающие security-уязвимости (Monthly Over-the-Air Android Security Updates)

Как узнать, подвержен ваш телефон этой уязвимости — 

  1. Можно обратится к первоисточнику — компания Zimperium выпустила детектор

https://play.google.com/store/apps/details?id=com.zimperium.stagefrightdetector

2. Можно так же проверить через утилиту еще одного монстра в области безопасности Checkpoint (у меня эта показала что все хорошо, хотя утилита выше — показала уязвимости. Можете считать меня параноиком, но Zimperium я доверяю больше)

https://play.google.com/store/apps/details?id=com.checkpoint.capsulescanner

Более информативная утилита на мой взгляд Zimperium — она показывает конкретно номера уязвимостей которые не закрыты.
Еще об одной уязвимости  CVE-2015-3823 стало известно от компании Trend Micro: можно отправить в «кому» с помощью специально подготовленного файла *.mkv (Matroska). Об этой уязвимости так же известили Google еще 12 мая 2015, но компания присвоила низкий приоритет, и сообщила что «ни видела ни одного фактического случая заражения». «Ты суслика видишь? — Нет, -И я нет. А он есть»©ДМБ
Хакеры могут использовать новую уязвимость для шантажа и вымогательства (да мало ли для чего еще), угрожая заблокировать устройство, если пользователь не заплатит. Могут и просто, ради шутки, «убить» телефон.