Уязвимости в Android и устройствах на его базе : Android

В ОС Android обнаружена критическая уязвимость, позволяющая злоумышленникам получить доступ к устройствам пользователей. Уязвимость (CVE-2019-2107) затрагивает версии Android от 7.0 до 9.0 (Nougat, Oreo и Pie) и позволяет удаленно выполнить код без дополнительных прав. Эксплоит для уязвимости был [ опубликован ] на GitHub исследователем Марцином Козловски (Marcin Kozlowski).

Как пояснил Козловски, злоумышленник может скомпрометировать устройство с помощью вредоносного видеофайла, отправив его, например, по электронной почте (приложение Gmail способно загружать видео с помощью стандартного видеопроигрывателя Android). В случае открытия файла пользователем, злоумышленник может получить доступ к устройству жертвы.

Успешная эксплуатация уязвимости возможна при одном условии – пользователь должен будет загрузить вредоносное видео только в неизменном виде. Атака, предположительно, также не будет эффективной при отправке вредоносного файла через сервисы, которые перекодируют видео, например, YouTube, WhatsApp и пр.

В настоящее время неизвестно, сколько именно устройств подвержено риску. По данным Google, в мае 2019 года насчитывалось более 2,5 млрд активных телефонов на базе Android. Из них почти 58% (около 1,5 млрд) работают под управлением уязвимых версий ОС.
Компания Google уже выпустила обновление, исправляющее уязвимость.

Кандидат наук Института кибербезопасности Флоридского университета Грант Эрнандес (Grant Hernandez) [ опубликовал ] PoC-эксплоит для уязвимости нулевого дня в Android, позволяющий получить на устройстве права суперпользователя и захватить контроль над ним.

Уязвимость (CVE-2019-2215) в ядре Android была обнаружена исследователями Google Project Zero ранее в текущем месяце, однако к тому времени ее уже активно эксплуатировали злоумышленники. Тогда же исследовательница Мэдди Стоун (Maddie Stone) опубликовала свой PoC-эксплоит, однако он позволял только читать/записывать данные в ядро, и для того чтобы реально воспользоваться им, атакующему все равно приходилось каким-то образом обходить защиту, реализованную на уровне ядра.

Опубликованный Эрнандесом PoC-эксплоит под названием Qu1ckR00t позволяет обойти защиту ядра, получить права суперпользователя и захватить полный контроль над устройством. В частности Qu1ckR00t обходит технологию избирательного контроля доступа (Discretionary Access Control, DAC) и Linux Capabilities (CAP), а также отключает SELinux (Security-Enhanced Linux), SECCOMP (Secure Computing Mode) и MAC (Mandatory Access Control).

PoC-эксплоит [ опубликован ] на GitHub в виде исходного кода, а не готового APK-файла, и для того чтобы воспользоваться инструментом, нужно сначала самостоятельно его скомпилировать. Неопытным пользователям рекомендуется воздержаться от тестирования инструмента, поскольку они могут по незнанию превратить его в «кирпич» и потерять все данные.

Уязвимость затрагивает устройства от различных производителей (в том числе Pixel 2, Huawei P20, Xiaomi Redmi 5A, Xiaomi Redmi Note 5, Xiaomi A1, Oppo A3, Moto Z3, устройства Oreo LG и Samsung), работающие под управлением Android 8.x и выше. Эрнандес протестировал Qu1ckR00t только на смартфонах Pixel 2.

В целях обезопасить уязвимые устройства от возможной эксплуатации злоумышленниками пользователям настоятельно рекомендуется установить патч, выпущенный в рамках октябрьских обновлений безопасности.