47 уязвимостей в прошивках 27 моделей смартфонов под управлением Android
Компания Kryptowire представила на конференции DEF CON результаты своего исследования прошивок различных Android-смартфонов, в результате которого было выявлено 47 уязвимостей, затрагивающих 27 различных моделей смартфонов от Alcatel, ASUSE, LG, ZTE, Sony, Nokia, Orbic, Oppo, MXQ и ряда других производителей.
Уязвимости достаточно разноплановые, от инициирования краха прошивки, очистки всех данных пользователя и скрытого создания скриншотов или записи видео содержимого экрана, до получения root-привилегий, установки приложений без ведома пользователя, неавторизированной отправки SMS и доступа к адресной книге. Уязвимости выявлены в рамках программы по анализу дополняющих базовую платформу драйверов и установленных по умолчанию программ.
Все выявленные уязвимости выходят за пределы штатной модели управления доступом Android и, как правило, затрагивают дополнительные надстройки и драйверы, добавленные производителями. Исследование профинансировано Министерством внутренней безопасности США.
Дополнительно можно отметить публикацию компанией Check Point описания нового вектора атак на приложения для платформы Android - "Man-in-the-Disk". В настоящее время большое число приложений при установке запрашивают полномочия на доступ к внешнему хранилищу, которые используются для хранения временных и рабочих файлов на SD-карте или дополнительном Flash с целью экономии внутренней памяти смартфона.
Суть атаки в том, что на внешних накопителях отсутствует должное разделение привилегий и любое приложение имеет доступ ко всем данным на накопителе. Например, вредоносное приложение может подменить или изменить данные любых других установленных приложений и инициировать в лучшем случае их крах или некорректное выполнение, а в худшем подменить исполняемые компоненты приложений на вредоносный код.
Отмечается, что данной проблеме подвержены многие популярные программы. Например, продемонстрирована возможность инициирования отказа в обслуживании для Google Translate, Yandex Translate, Google Voice Typing и Google Text-to-Speech, а также организация обновления Xiaomi Browser до модифицированного вредоносного варианта. Суть атаки по подмене приложения сводятся к тому, что если программа сохраняет загруженное обновление во временный файл во внешнем хранилище, атакующий может отследить момент загрузки обновления и подменить его перед началом установки.
Для блокирования нового класса атак рекомендуется рассматривать как не заслуживающими доверия все данные с внешних хранилищ, обеспечивая полную проверку их корректности и не сохраняя исполняемые файлы или Java-классы. Для всех важных и исполняемых данных, сохраняемых во внешних хранилищах, должна обеспечиваться проверка целостности по цифровой подписи.
