Компания Kryptowire представила (https://www.businesswire.com/news/home/20180810005071/en/Kry...) на конференции DEF CON результаты своего исследования прошивок различных Android-смартфонов, в результате которого было выявлено 47 уязвимостей (https://www.kryptowire.com/portal/android-firmware-defcon-2018/), затрагивающих 27 различных моделей смартфонов от Alcatel, ASUSE, LG, ZTE, Sony, Nokia, Orbic, Oppo, MXQ и ряда других производителей.
Уязвимости достаточно разноплановые, от инициирования краха прошивки, очистки всех данных пользователя и скрытого создания скриншотов или записи видео содержимого экрана, до получения root-привилегий, установки приложений без ведома пользователя, неавторизированной отправки SMS и доступа к адресной книге.
Все выявленные уязвимости выходят за пределы штатной модели управления доступом Android и, как правило, затрагивают дополнительные надстройки и драйверы, добавленные производителями. Уязвимости выявлены в рамках программы по анализу дополняющих базовую платформу драйверов и установленных по умолчанию программ.
Исследование профинансировано Министерством внутренней безопасности США.
Дополнительно можно отметить публикацию (https://blog.checkpoint.com/2018/08/12/man-in-the-disk-a-new.../) компанией Check Point описания нового вектора атак на приложения для платформы Android - "Man-in-the-Disk". В настоящее время большое число приложений при установке запрашивают полномочия на доступ к внешнему хранилищу, которые используются для хранения временных и рабочих файлов на SD-карте или дополнительном Flash с целью экономии внутренней памяти смартфона.
Суть атаки в том, что на внешних накопителях отсутствует должное разделение привилегий и любое приложение имеет доступ ко всем данным на накопителе. Например, вредоносное приложение может подменить или изменить данные любых других установленных приложений и инициировать в лучшем случае их крах или некорректное выполнение, а в худшем подменить исполняемые компоненты приложений на вредоносный код.
Отмечается, что данной проблеме подвержены многие популярные программы. Например, продемонстрирована возможность инициирования отказа в обслуживании для Google Translate, Yandex Translate, Google Voice Typing и Google Text-to-Speech, а также организация обновления Xiaomi Browser до модифицированного вредоносного варианта. Суть атаки по подмене приложения сводятся к тому, что если программа сохраняет загруженное обновление во временный файл во внешнем хранилище, атакующий может отследить момент загрузки обновления и подменить его перед началом установки.
Для блокирования нового класса атак рекомендуется рассматривать как не заслуживающими доверия все данные с внешних хранилищ, обеспечивая полную проверку их корректности и не сохраняя исполняемые файлы или Java-классы. Для всех важных и исполняемых данных, сохраняемых во внешних хранилищах, должна обеспечиваться проверка целостности по цифровой подписи.
URL: https://www.businesswire.com/news/home/20180810005071/en/Kry...
Новость: https://www.opennet.ru/opennews/art.shtml?num=49132
