Vyzerá to, že Stagefright opäť zasiahne.
Bezpečnostná chyba, ktorá sa vyskytovala na telefónoch s verziou operačného systému Android OS medzi 2,2 a 4, teraz zvýšila svoju pozíciu na útok na zariadenia so systémom Android 5.0 a novším.
Joshua J. Drake, viceprezident pre výskum spoločnosti Zimperium zLabs, našiel ďalšiu bezpečnostnú otázku v systéme Android s názvom Stagefright 2.0. Drake tvrdí, že existujú dve zraniteľnosti, ktoré sa môžu vyskytnúť pri spracovaní špeciálne vytvorených súborov MP3 a MP4.
$config[code] not foundZdá sa, že v rámci súborov MP3 a MP4 je funkcia, ktorá umožňuje vzdialené spustenie kódu (RCE). To v podstate znamená, že infikované súbory MP3 a MP4 môžu používateľovi umožniť prístup k spusteniu úlohy na vašom telefóne s Androidom. Dokonca aj jednoduché zobrazenie náhodnej skladby alebo videa môže ohroziť váš telefón.
Drake hovorí vo svojom blogovom príspevku, že najzraniteľnejší prístup k telefónu s Androidom je prostredníctvom webového prehliadača, pričom tri rôzne spôsoby, ako by mohol hacker využiť bezpečnostnú chybu.
Po prvé, útočník by sa mohol pokúsiť dostať používateľov systému Android, aby navštívili webovú adresu, ktorá skutočne povedie k webovým stránkam kontrolovaným útočníkom. Môže to byť napríklad v podobe reklamnej kampane. Po naštvaní bude obeť vystavená infikovanému súboru MP3 alebo MP4.
Rovnakým spôsobom môže útočník používať aplikáciu tretej strany, napríklad prehrávač médií. V tomto prípade je to aplikácia, ktorá by obsahovala jeden z týchto škodlivých súborov.
Existuje však aj tretia možnosť, keď by hacker mohol mať inú cestu.
Povedzme, že hacker a užívateľ Android používajú rovnaké WiFi. Hacker by potom nebol potrestaný používateľom, aby navštívil adresu URL alebo otvoril aplikáciu tretej strany. Namiesto toho by všetko, čo museli urobiť, je podať zneužitie do nezašifrovanej sieťovej prevádzky užívateľa, ktorú používa prehliadač.
Pôvodná chyba Stagefright - ktorú objavil aj Drake v priebehu tohto roka - otvorila telefóny s Androidom na zraniteľnosť prostredníctvom textových správ obsahujúcich škodlivý softvér.
Ak hacker poznal vaše telefónne číslo, mohla by sa odoslať textová správa obsahujúca škodlivý multimediálny súbor. Text by potom mohol dovoliť hackerovi prístup k údajom a fotografiám používateľa alebo dokonca poskytnúť prístup k funkciám, ako je fotoaparát alebo mikrofón telefónu.
Používatelia by mohli byť ovplyvnení a dokonca ani nevedia.
Náplasť bola uvoľnená pre pôvodnú chybu Stagefright nie príliš dlho po zistení zraniteľnosti.Pri náprave sa vyskytlo niekoľko problémov. Niektoré prehľady naznačujú, že náplasť môže v niektorých prípadoch spôsobiť zlyhanie telefónu pri otvorení multimediálnej správy.
Drake hovorí, že oznámila hrozbu spoločnosti Android a uviedla, že systém Android sa rýchlo presunul, aby sa vyriešil, hoci ešte nemali poskytnúť číslo CVE na sledovanie tohto posledného problému. Google obsahuje opravu pre Stagefright v bulletine Nexus Security Bulletin, ktorý vyšiel tento týždeň.
Ak si nie ste istí, či je vaše zariadenie s Androidom zraniteľné, môžete si stiahnuť aplikáciu Zimperium Inc. Stagefright Detector, aby ste zistili zraniteľnosť.
Lollipop Foto pomocou Shutterstock
Viac v: Google 2 Komentáre ▼
