Експлоатирането на уязвимост за Android „убива“ телефона ви

Хич не им е лесно на инженерите в Google последните дни. Първо се появи Stagefright, зловеща уязвимост, която позволява превземането на  устройството без каквато и да е намеса от страна на притежателя му, а днес стана ясно и за още една уязвимост, която авторите я сравняват с първата, макар и тук да е нужна намеса на притежателя на устройството, за да задейства експлойт за нея.

Уязвимостта е открита от специалистите от Trend Micro, които са уведомили Google за наличието й още през май. От Google са признали валидността й, но са заявили, че тя е с нисък приоритет.

Уязвимостта засяга устройства с инсталирана операционна система Android 4.3 (Jelly Bean) до Android 5.1.1 (Lollipop) включително, което означава, че повече от половината устройства с Android, които са в употреба днес са податливи на проблема. Самите Google така и не са издали пач, който да адресира уязвимостта. Както помните самите Google внесоха самосиндикално срок от два месеца от докладване до поместване на данни за уязвимости в продуктите на софтуерни компании, така че Trend Micro се подчиняват на този срок, публикувайки и PoC код, с който демонстрират наличието на уязвимостта.

Експлоатирането на уязвимостта убива вашето устройство, правейки го напълно неактивно. Уязвимостта би могла да се експлоатира по два начина: чрез вграждането на код в специално изработено приложение или чрез поставянето на експлойт в страница в Мрежата. Първият метод е доста стряскащ, тъй като приложението може да се настрои така че експлойтът да се задейства при включване на устройството. Сходното със Stagefright не е само това, че и двете уязвимости могат да се експлоатират дистанционно и това, че са си доста зловещи, но и това, че проблемът идва от медийни файлове. Откритата от Trend Micro уязвимост е свързана с проблем в услугата mediaserver, която помага за индексирането на Android на медийните файлове, намиращи се на устройството.

Оказва се, че услугата не успява да обработи предварително изменени видео файлове чрез контейнера на Matroska (.mkv). Когато процеса отвори един такъв файл, услугата спира да отговаря, а с нея и операционната система. Уязвимостта се причинява от препълване на буфера на цялото число (integer overflow), когато .MKV файлът преминава през услугата. Специалистите от компанията демонстрират уязвимостта. Веднъж стартирано приложението, услугата влиза в цикъл на постоянни сривове, а устройството е напълно деактивирано и не отговаря. Изключват се звуците на устройството и даже да се опита човек да говори по устройството, той нито е може да чуе нещо, нито да бъде чут от отсрещната страна.

Уиш Лу дава и доста мрачно предположение за възможна злоупотреба с уязвимостта. Според него е възможно киберпрестъпници да комбинират експлойт за уязвимостта с рансъмуер. Така освен криптиране на данните, устройството ще е недостъпно за специалисти, които искат да се справят със заплахата, и като цяло устройството ще стане непотребно.“