Zero-day ευπάθεια δίνει σε επιτιθέμενους τον πλήρη έλεγχο συσκευών Android

[voltmod]

Επιτιθέμενοι φαίνεται πως εξαιτίας μίας zero-day ευπάθειας στο λειτουργικό σύστημα για φορητές συσκευές της Google, Android, μπορούν να αποκτήσουν τον πλήρη έλεγχο τουλάχιστον δεκαοκτώ διαφορετικών συσκευών Android, συμπεριλαμβανομένων και τεσσάρων διαφορετικών μοντέλων Pixel.

Την σχετική αποκάλυψη έκανε η Maddie Stone, μέλος του Project Zero. Υπάρχουν μάλιστα στοιχεία, ότι την ευπάθεια εκμεταλλεύεται αυτή την περίοδο ο exploit developer NSO Group ή κάποιος από τους πελάτες του σύμφωνα με την Maddie Stone. Τα exploits είναι δύο, και απαιτούν ελαφρύ ή καθόλου customization για να προχωρήσει κάποιος στο πλήρες «root» των συσκευών που επηρεάζονται.

Ένας επιτιθέμενος μπορεί να εκμεταλλευτεί και να αξιοποιήσει την ευπάθεια με δύο τρόπους: με την εγκατάσταση μίας μη έμπιστης εφαρμογής και –για online επιθέσεις- με τον συνδυασμό του exploit με ένα δεύτερο exploit που έχει στόχο μία ευπάθεια στον κώδικα του browser Chrome που χρησιμοποιείται για το rendering περιεχομένου.

Οι συσκευής που επηρεάζονται είναι οι παρακάτω:

• Pixel 1
• Pixel 1 XL
• Pixel 2
• Pixel 2 XL
• Huawei P20
• Xiaomi Redmi 5A
• Xiaomi Redmi Note 5
• Xiaomi A1
• Oppo A3
• Moto Z3
• Oreo LG phones
• Samsung S7
• Samsung S8
• Samsung S9

Ένα μέλος της ομάδας Android δήλωσε στο ίδιο νήμα στο Project Zero ότι είναι δυνατή η αντιμετώπιση της ευπάθειας με σχετικό patch –τουλάχιστον στις συσκευές Pixel- στο Android security update Οκτωβρίου που αναμένεται να διατεθεί μέσα στις επόμενες ημέρες. Να αναφέρουμε ότι τα Pixel 3 και Pixel 3a δεν επηρεάζονται από την ευπάθεια. Η ευπάθεια έκανε αρχικά την εμφάνιση της στον Linux kernel στις αρχές του 2018 αλλά διορθώθηκε με σχετικό patch στην έκδοση 4.14, χωρίς όμως τα οφέλη ενός tracking CVE. Το fix στην συνέχεια ενσωματώθηκε στις εκδόσεις 3.18, 4.4 και 4.9 του Android kernel. Χωρίς κάποια εξήγηση παρόλα αυτά, τα patches δεν διατέθηκαν στα Android security updates που διατέθηκαν εκείνο το διάστημα και για αυτό οι πρώτες συσκευές Pixel είναι ευάλωτες αλλά όχι και οι νεότερες. Το κενό ασφαλείας τώρα είναι γνωστό ως CVE-2019-2215.

ArsTechnica

Διαβάστε ολόκληρο το άρθρο

[ZELOMOTH]

Μια χαρούλα! Το cubot μου δεν επιρεάζεται απο τίποτα!👍🙂

[barbariangr]

Να δίνεις ένα σωρό χρήματα για να έχεις υποτίθεται ποιότητα, ασφάλεια, λειτουργίες και τελικά... Αξίζεις να δίνεις χρήματα για κάτι που δεν πιάνει τόπο? Πόσο κρίμα, αλήθεια. Nokia 3210 και μια φωτογραφική μηχανή μαζί μας !!!

Επεξ/σία 5 Οκτωβρίου 2019 από barbariangr

[Deadpool 1]

Ευτυχώς έχω wiko darkmoοn

Επεξ/σία 4 Οκτωβρίου 2019 από Deadpool 1

[bobos73]

Μια χαρά! Πιο καλά δεν γίνεται.... 

[Ghost.Dog]

Μαύρα χάλια. Πρέπει να είμαι από τους πρώτους που με επηρρεάζει. Σε μεταγενέστερη Σαμ συσκευή...

[coffeex]

 

[brunos13]

Meanwhile.... 

 

 

[nikos5800]

Εδώ με το pocophone f1 δεν καταλαβαίνουμε τίποτα 😀

[alexakos89]

Παιδια για να αποφευγονται τετοια πραγματα και να ειστε ασφαλες , παρετε iPhone.

 

[Deadpool 1]

3 λεπτά πριν, Ghost.Dog είπε

Μαύρα χάλια. Πρέπει να είμαι από τους πρώτους που με επηρρεάζει. Σε μεταγενέστερη Σαμ συσκευή...

Μην ψαρώνετε μόνο για ρουταρισμενες συσκευές ισχύει.Τωρα εάν κάποιος έχει LG  το έχει ρουτάρει και έχει oreo και έχει εγκαταστήσει αναξιόπιστες εφαρμογές  τρίτων είναι άξιος της μοίρας του

2 λεπτά πριν, alexakos89 είπε

Παιδια για να αποφευγονται τετοια πραγματα και να ειστε ασφαλες , παρετε iPhone.

Τουλάχιστον σε android πρέπει να εγκαταστήσεις  προβληματικές εφαρμογές με ρουταρισμα για να την πατήσεις Στο ios είναι τρύπιο το ίδιο το λειτουργικό.

[forgotten]

6 λεπτά πριν, brunos13 είπε

Meanwhile.... 

γιατι ρε παιδια θελετε το flame war ??? ασφαλες λειτουργικο δεν υπαρχει , υπαρχει προσκετικος χρηστης και απροσεκτος

[coffeex]

3 λεπτά πριν, Deadpool 1 είπε

Μην ψαρώνετε μόνο για ρουταρισμενες συσκευές ισχύει.Τωρα εάν κάποιος έχει LG  το έχει ρουτάρει και έχει oreo και έχει εγκαταστήσει αναξιόπιστες εφαρμογές  τρίτων είναι άξιος της μοίρας του

Αναφορά σε κείμενο

Τα exploits είναι δύο, και απαιτούν ελαφρύ ή καθόλου customization για να προχωρήσει κάποιος στο πλήρες «root» των συσκευών που επηρεάζονται.

 

[alexakos89]

27 λεπτά πριν, Deadpool 1 είπε

Μην ψαρώνετε μόνο για ρουταρισμενες συσκευές ισχύει.Τωρα εάν κάποιος έχει LG  το έχει ρουτάρει και έχει oreo και έχει εγκαταστήσει αναξιόπιστες εφαρμογές  τρίτων είναι άξιος της μοίρας του

Τουλάχιστον σε android πρέπει να εγκαταστήσεις  προβληματικές εφαρμογές με ρουταρισμα για να την πατήσεις Στο ios είναι τρύπιο το ίδιο το λειτουργικό.

Θα θελες να ειναι τρυπιο. 

Δεν βλεπω καπου να λεει να πρεπει να εχειις ROOT.

Λεει οτι περαστε ελευθερα σας ανοιγω την πορτα!

ΚΡΙΜΑ.

Επεξ/σία 4 Οκτωβρίου 2019 από alexakos89

[newton91]

1 λεπτό πριν, coffeex είπε

 

Έτσι όπως το γράφει δεν καταλαβαίνω. Μόνο οι rooted συσκευές επηρεάζονται ;