Skocz do zawartości

Potrzebujemy Ciebie! Weź udział w rekrutacji do redakcji Android.com.pl!

alek666

Luka w bibiliotece StageFright - 950 mln potencjalnych ofiar

Rozwiązany

alek666   
Otrzymana reputacja: 5
alek666

Aż dziwne, że nie ma tutaj jeszcze takiego tematu, bo cały świat już huczy od wczoraj tylko i wyłącznie na ten temat.

 

Firma Zimperium podała wczoraj informację i przykład wykorzystania luki w prawie wszystkich telefonach z Androidem od wersji 2.2 (wtedy wprowadzono bibl. StageFright) wzywż. Luka związana jest z wprowadzoną w wersji 2.2 biblioteką StageFright napisaną w C++, która odpowiedzialna jest za przetwarzanie plików multimedialnych w wielu formatach, w tym obrazy, video.

Odpowiednio spreparowany plik pozwala na dostęp do kamery, aparatu i karty pamięci. Pozwala to również na próbę poszerzenia uprawnień za pomocą znanych exploitów (zwłaszcza android 4.3) i całkowitego przejęcia systemu w telefonie.

 

Ok. 2 tyg temu Cyanogenmod w swoich wersjach 12 i 12.1 załatał luki związane z bibl. StageFright oznaczone jako CVE-2015-1538, CVE-2015-1539, CVE-2015-3824, CVE-2015-3826, CVE-2015-3827, CVE-2015-3828, CVE-2015-3829 co oznacza, że mocno wskazana jest przesiadka na ten system.

 

Wskazana jest głównie z tego powodu, że atak można przeprowadzić bez żadnego działania ofiary. Wystarczy znać jej nr tel. i przesłać jej MMSem zainfekowany plik. System o ile ma ustawiony jako autoodbiór takiego pliku zostanie bez udziału ofiary zaatakowany i da dostęp do systemu włamywaczowi.

Nie jest to jedyna droga ataku ale najłatwiejsza. Można również nakłonić ofiarę przesyłając jej link do strony, na której znajduje się dany plik/obrazek do jej otworzenia. Wtedy również ofiara jest bezbronna.

 

Znając filozofię wielu producentów telefonów do aktualizacji luka wydaje się być b. groźna.

 

Jeśli nie macie zamiaru instalować cyanogenmoda to na chwilę obecną jedyną waszą obroną może być 'popsucie' APNów do MMSów. Jednak nie chroni to przed innymi ścieżkami ataków.

  • Lubię to! 3

Udostępnij link do tego posta


Odnośnik do posta
Udostępnij na stronach
sebas86   
Otrzymana reputacja: 5
sebas86

Też szukam informacji jak bronić się zanim producenci zaczną wypuszczać łatkę (niestety nie ma jeszcze CM dla mojej słuchawki).

 

Na razie z jedynych rzeczy, które przychodzą do głowy to wyłączenie automatycznego pobierania wiadomości multimedialnych, wyłączenie/odinstalowanie wszelkiego rodzaju aplikacji mogących wykorzystywać wspomnianą bibliotekę i profilaktyczne zaprzestanie korzystania z wbudowanych aplikacji mogących ściągać i przetwarzać zdalne pliki.

 

Niezły kanał. Krótko mówiąc trzeba przestawić urządzenie w tryb dumbfona.

Edytowane przez sebas86

Udostępnij link do tego posta


Odnośnik do posta
Udostępnij na stronach
nethome   
Otrzymana reputacja: 0
nethome

Porażka ciekawe czy wyjdzie poprawka do wszystkich wersji systemu :P

Udostępnij link do tego posta


Odnośnik do posta
Udostępnij na stronach
lupus   
Otrzymana reputacja: 1
lupus

Do wszystkich pewnie nie, jest okazja do zarobku dla koncernów. Ciekawe dlaczego tak długo wszyscy zwlekaja z łatkami skoro Google o sprawie wiedział już w kwietniu...

Udostępnij link do tego posta


Odnośnik do posta
Udostępnij na stronach
giaur500   
Otrzymana reputacja: 187
giaur500

Jak to dobrze że mam najnowszego Cyanogenmoda. Google też już dawno zresztą łatki dla Nexusów przygotował (są w kodzie źródłowym aosp), ale nikt chyba jeszcze nie dostał aktualizacji ota. Jednak to pewne że użytkownicy czystego Androida prosto od Google też łatki dostaną i to zapewne wkrótce, zwłaszcza że podniósł się taki krzyk.

 

A reszta? Cóż. Prawie wszyscy inni nie mogą zrobić absolutnie nic aby się obronić. Nawet użytkownicy topowych modeli, kupionych u operatorów komórkowych poczekają  pewnie z rok (bo dodajmy jeszcze opóźnienie związane z brandowaniem). Chociaż - gdyby producenci chcieli być fair, to mogliby wypuścić łatkę do wszystkich swoich produktów, nawet bez podnoszenia wersji Androida - tylko łatkę naprawiającą tą lukę. Wątpię jednak aby się to stało, bo nikomu nie opłaca się inwestować czasu i pieniędzy w łatanie starych telefonów.

Edytowane przez giaur500

Udostępnij link do tego posta


Odnośnik do posta
Udostępnij na stronach
Daggerka   
Otrzymana reputacja: 2
Daggerka

Jeśli nie ma się CM dla swojej słuchawki, to istnieje możliwość ręcznej podmiany podatnej biblioteki na zrootowanym andku? Czy pozostaje wyłączyć telefon i czekać zapewne kilka miesięcy na update? 

Udostępnij link do tego posta


Odnośnik do posta
Udostępnij na stronach
kkkkooo   
Otrzymana reputacja: 0
kkkkooo

@UP

na XDA pisali, że czekają na podanie szczegółów dotyczących luki (jakaś konferencja nt. bezpieczeństwa w IT jest na dniach) i wtedy jak będą wiedzieć więcej to postarają się sami napisać jakiegoś fixa albo podadzą jak zedytować kod by załatać lukę.

Edytowane przez deus640
Cytat postu poprzedzającego w całości.

Udostępnij link do tego posta


Odnośnik do posta
Udostępnij na stronach
piskorfa   
Otrzymana reputacja: 690
piskorfa

Dla części Samsungów, tych z KNOX'em jest jak na razie obejście

Info z http://blog.zimperium.com/stagefright-vulnerability-details-stagefright-detector-tool-released/

Znajdzeimy tam link do aplikacji blokującej MMS'y w urządzeniu https://s3.amazonaws.com/zhafiles/Zimperium-Handset-Alliance/Samsung_KNOX_and_ZHA_ap_MMSCtrl.apk

Udostępnij link do tego posta


Odnośnik do posta
Udostępnij na stronach
sebas86   
Otrzymana reputacja: 5
sebas86

Zaraz będzie miesiąc czasu, a na Nexusach nadal raportuje, że jedna z podatności jest niezałatana (pocieszające, że i tak załatali większość raportowanych przez apkę), na Spirycie od LG zupełnie brak aktualizacji (ostatnia z czerwca). Jak myślicie, przejdzie zwrot produktu jako niezgodnego z umową z powodu poważnej luki bezpieczeństwa? Jak najbardziej poważnie pytam, po takich wiadomościach gotowy jestem kupić nawet jakiegoś tabletophone'a byle tylko było logo Nexus z tyłu i możliwość instalacji oficjalnego CM-a. :)

 

BTW w Firefoksie można zablokować wykorzystanie biblioteki (w about:config trzeba przestawić stagefright.disabled na true).

 

https://blog.zimperium.com/how-to-protect-from-stagefright-vulnerability/

Udostępnij link do tego posta


Odnośnik do posta
Udostępnij na stronach
giaur500   
Otrzymana reputacja: 187
giaur500

Udostępnij link do tego posta


Odnośnik do posta
Udostępnij na stronach

Żeby dodać komentarz, musisz założyć konto lub zalogować się

Tylko zarejestrowani użytkownicy mogą dodawać komentarze

Dodaj konto

Załóż nowe konto. To bardzo proste!

Zarejestruj nowe konto

Zaloguj się

Posiadasz już konto? Zaloguj się tutaj.

Zaloguj się teraz


  • Przeglądający   0 użytkowników

    Brak zarejestrowanych użytkowników, przeglądających tę stronę.

×