В Android обнаружена серьезная уязвимость

Александр Панасенко 30 Июля 2014 - 15:37

...

Специалисты компании Bluebox Labs раскрыли информацию об уязвимости в Android, позволяющую злоумышленникам получать доступ к функциям сматфонов и планшетов и хранящимся на них личным данным без разрешения пользователя. Три месяца назад Bluebox Labs известила Google об этой уязвимости, и компания тут же выпустила патч для ее устранения.

Тем не менее, миллионы пользователей остаются в зоне риска. Дело в том, что уязвимость была устранена лишь в последней версии Android, а в версиях начиная с 2.1 (Eclair) и вплоть до 4.3.1 (Jelly Bean) она по-прежнему присутствует. Версия 2.1 была выпущена в январе 2010 г.

В англоязычных изданиях «дыру», найденную Bluebox Labs, назвали «суперуязвимостью нового типа», видимо, потому что она может привести к распространению чрезвычайно вредоносного ПО.

Сами аналитики BlueBox наывают ее Fake ID («поддельное удостоверение»), потому что она позволяет обмануть систему цифровых подписей (сертификатов) приложений и выдать вредоносное приложение за приложение официального поставщика, которому пользователь уже разрешил доступ к системе.

Проблема заключается в самом процессе проверки сертификатов, объяснил в блоге компании технический директор Bluebox Labs Джефф Фористал (Jeff Forristal). В качестве примера он привел ситуацию, когда грабитель подходит к охране и предъявляет поддельный пропуск, а охрана, взглянув на пропуск, пускает его в здание, не удосужившись сделать контрольный звонок в службу, которая выдает удостоверения.

«Android не проверяет, действительно ли дочерняя цифровая подпись связана с родительской цифровой подписью, а просто безоговорочно доверяет этому утверждению. Это фундаментальная проблема самой операционной системы», — говорит Фористал.

Например, приложение объявляет системе, что оно было создано компанией Adobe Systems, приводит пример эксперт. Android это утверждение не проверяет и наделяет приложение привилегиями, доступными официальным приложениям от Adobe. В результате хакер может внедрить в систему вредоносный код, прикрываясь плагином Flash. Другой пример заключается в использовании сертификата приложения Google Wallet, имеющего доступ к функции NFC.

Или, например, злоумышленник может воспользоваться правами программного обеспечения 3LM, которое HTC, Sony, Sharp и Motorola использовали для кастомизации графических оболочек на выпускаемых устройствах. Получив привилегии 3LM, злоумышленник может получить права на совершение всех действий, которые разрешены 3LM, включая удаление и установку приложений любого содержания.

Подобная уязвимость обнаруживается в Android не в первый раз. В июле 2014 г. специалисты этой же компании, Bluebox, нашли в операционной системе баг, позволяющий хакеру модифицировать код установочного APK-файла и превратить в троян любое подлинное приложение. Как сообщили эксперты, данная ошибка существует на 900 млн устройств под управлением разработанной Google операционной системы.

Следующая главная новость »

Подписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Вероника Дубровская 02 Мая 2024 - 20:52

Общее

С днём рождения, BASIC! Языку программирования исполнилось 60 лет

Простой язык программирования, разработанный ещё в 1964 году, стал основой персональных компьютеров Apple, TRS-80, IBM и Commodore. На этой неделе ему исполнилось 60 лет.

1 мая 1964 года профессора Дартмутского колледжа Томас Курц и Джон Кемени успешно запустили первую программу, написанную на только что разработанном языке программирования BASIC (Beginner's All-Purpose Symbolic Instruction Code) на мэйнфрейме General Electric GE-225.

BASIC был создан как простейший язык для непосредственного общения человека с вычислительной машиной и впоследствии вдохновил целые поколения программистов.

Именно понятный синтаксис BASIC с его простыми английскими ключевыми словами стал залогом популярности среди начинающих программистов.

Мы все привыкли к маленьким, недорогим компьютерам, простым в использовании. Но так было не всегда. Изначально программирование заключалось в физическом соединении проводов и переключении рычагов. Спустя время инженеры смогли избежать низкоуровневые операции. В бой пошли языки программирования.

До появления BASIC уже существовали некоторые языки программирования, такие как Fortran, Algol и COBOL. Проблема заключалась в том, что они были сложными и использовались только профессионалами. BASIC создавался как инструмент, с помощью которого студенты-непрограммисты могли самостоятельно создавать компьютерные программы для решения своих задач. Простота и мощь этого языка программирования быстро сделали его любимым как среди обучающихся, так и среди преподавателей.

Кемени, Курц и группа студентов создали для General Electric операционную систему с разделением времени. BASIC, запущенный на этой операционной системе, позволил колледжам, средним школам и частным лицам по всей стране подключаться к мейнфреймам и писать программы. Влияние BASIC стало распространяться далеко за пределы кампуса Дартмута.

В 1970-е годы началось активное развитие персональных компьютеров, BASIC тоже не стоял на месте. Пол Аллен и Билл Гейтс адаптировали язык для ПК типа Altair 8800, основав в то время компанию Microsoft. В 1976 году Стив Возняк разработал интерпретатор BASIC с нуля для Apple I, который впоследствии стал ключевой частью Apple II.

BASIC пользуется популярностью среди любителей ретрокомпьютеров, но мало кто использует его в качестве практического языка.

Потомки BASIC, такие как Visual Basic, Visual Basic for Applications (VBA) и Microsoft Small Basic, продолжают жить. Представленный в 1991 году Visual Basic применяется для разработки Windows-приложений, а для создания сценариев и автоматизации в приложениях Microsoft Office служит VBA. Для обучения начинающих программистов используется Microsoft Small Basic.

За простоту и легкость в использовании теперь отвечают другие современные языки программирования, такие как Python и JavaScript. Они взяли на себя роль, которую когда-то выполнял BASIC.

BASIC послужил толчком в обеспечении доступности вычислительной техники для широкой аудитории.