Úgy néz ki, mintha Stagefright ismét sztrájkol.
A biztonsági bug, amelyet az Android operációs rendszert futtató telefonok 2,2 és 4 között futtattak, most az Android 5.0-s vagy újabb verziójú eszközök támadásához vezetett.
Joshua J. Drake, a Zimperium zLabs kutatási alelnöke újabb biztonsági problémát talált az Androidban, a Stagefright 2.0 néven. Drake azt állítja, hogy két sérülékenység fordulhat elő, amikor speciálisan kialakított MP3 audio- és MP4-videofájlok feldolgozására kerül sor.
$config[code] not foundNyilvánvaló, hogy az MP3 és MP4 fájlok között van egy funkció, amely lehetővé teszi a távoli kódfuttatást (RCE). Ez alapvetően azt jelenti, hogy a fertőzött MP3- és MP4-fájlok valakinek hozzáférést adhatnak az Android telefonon egy feladat futtatásához. Még egy rosszindulatú dal vagy videó előnézete is veszélyeztetheti a telefont.
Drake a blogbejegyzésében azt mondja, hogy az Android telefon legérzékenyebb megközelítése a webböngészőn keresztül történik, három különböző módon a hacker kihasználhatja a biztonsági hibát.
Először is, egy támadó megpróbálhat egy Android-felhasználót meglátogatni egy olyan URL-címre, amely valóban egy támadó által ellenőrzött weboldalhoz vezet. Ezt például hirdetési kampány formájában lehet megtenni. Az áldozat bejutott a fertőzött MP3- vagy MP4-fájlba.
Ugyanezen vonalak mentén a támadó harmadik féltől származó alkalmazást is használhat, mint egy médialejátszó. Ebben az esetben ez az alkalmazás tartalmaz egy ilyen rosszindulatú fájlt.
De van egy harmadik lehetőség is, ha a hacker más útvonalat vehet igénybe.
Mondjuk, a hacker és az Android felhasználó ugyanazt a WiFi-t használja. Ezután a hackernek nem kell becsapnia a felhasználót egy URL-cím meglátogatásához vagy egy harmadik fél alkalmazásának megnyitásához. Ehelyett csak annyit kell tennie, ha a felhasználó a böngésző által használt, nem titkosított hálózati forgalomba fecskendezi a kiaknázást.
Az eredeti Stagefright-hiba - melyet drake már ebben az évben is felfedezett - az Android telefonokat kémprogramokat tartalmazó szöveges üzenetek segítségével nyitotta meg a biztonsági résnek.
Ha egy hacker ismeri a telefonszámát, szöveges üzenetet lehet küldeni, amely rosszindulatú multimédiás fájlt tartalmaz. A szöveg lehetővé teszi, hogy a hacker hozzáférjen a felhasználó adataihoz és fényképeihez, vagy akár olyan funkciókat is biztosíthasson, mint a telefon fényképezőgépe vagy mikrofonja.
A felhasználók érintettek lehetnek, és nem is tudják.
A biztonsági rés felfedezése után nem túl sokáig egy patch került kiadásra az eredeti Stagefright hibához.Van azonban néhány probléma a javítással kapcsolatban. Néhány jelentés azt jelzi, hogy a javítás bizonyos esetekben a telefonok összeomlását okozhatja, amikor multimédiás üzenetet nyit meg.
Drake azt mondja, hogy értesítette az Androidot a fenyegetésről, és kijelentette, hogy az Android gyorsan költözött, hogy orvosolhassa, bár még nem kellett megadnia a CVE számot, hogy nyomon kövesse ezt a legújabb problémát. A Google a Stagefright javítását is tartalmazza a héten megjelenő Nexus biztonsági közleményben.
Ha nem biztos abban, hogy sebezhető-e az Android készüléke, letöltheti a Zimperium Inc. Stagefright Detector alkalmazását a sebezhetőségek ellenőrzésére.
Android Lollipop fénykép a Shutterstock-on keresztül
További információ: Google 2 Megjegyzések ▼
