Новая уязвимость в OC Android

Новая уязвимость в OC Android

Специалист по защите информации Томас Кэннон обнаружил очередную ошибку безопасности во встроенном Интернет-обозревателе операционной системы Android. Эксплуатируя эту уязвимость, злоумышленники могут похитить любые данные, хранящиеся на карте памяти мобильного устройства.

Согласно заявлению исследователя, изъян существует в механизме обработки загружаемых HTML-файлов и, в частности, содержащихся в них сценариев JavaScript. С помощью этой уязвимости можно извлечь и отправить на удаленный сервер какую угодно информацию со съемного SD-носителя, а также некоторые файлы с запоминающего устройства самого телефона.

Ошибка безопасности возникает в результате наложения нескольких различных факторов. В своем блоге эксперт разъяснил сущность выявленной им уязвимости следующим образом:

"1. Обозреватель Android не задает пользователю никаких вопросов при загрузке файла из Интернета; объект payload.html, например, будет сохранен как /sdcard/download/payload.html.
2. С помощью JavaScript можно заставить устройство автоматически запустить этот файл, так что сохраненный payload.html будет отображен в браузере.
3. Открывая сохраненный файл в локальном контексте, обозреватель обработает и исполнит JavaScript-код, причем опять же без отображения каких бы то ни было уведомлений.
4. Когда HTML-файл открыт в локальном контексте, сценарий на JavaScript оказывается вправе читать содержимое файлов на карте памяти и некоторые другие данные.
5. Прочитав информацию из файла, тот же самый сценарий может отправить ее на удаленный сервер".

Некоторым утешением для пользователей Android-устройств могут послужить два факта. Во-первых, для похищения сведений через эту уязвимость злоумышленник должен указать в эксплойт-коде точное имя и местоположение того файла, который он хочет извлечь - в противном случае украсть ничего не удастся. Во-вторых, такой сценарий не будет иметь привилегий суперпользователя, а, следовательно, не сможет получить доступ к системным файлам в собственной памяти телефона.

Г-н Кэннон особо отметил, что серьезность уязвимости вынудила его выступить с предупреждением еще до выпуска соответствующего исправления от Google. Служба безопасности Android уже проинформирована о проблеме, но обновление еще предстоит разработать и опубликовать, а также обеспечить его доставку; пока все эти задачи не решены, пользователи остаются под угрозой компрометации данных.

Специалист рекомендовал владельцам Android-устройств пользоваться сторонними обозревателями (например, Opera), или же отключить обработку JavaScript в параметрах встроенного браузера. Сама Google предложила другой вариант - попросту отсоединить на время карту памяти и ждать выхода патча.

Дополнительная информация, включая видеофайл с демонстрацией уязвимости, доступна в первоисточнике.

Жильцы вправе требовать от консьержей неразглашения данных

Первый заместитель председателя комитета Госдумы по строительству и ЖКХ Владимир Кошелев напомнил, что консьержи могут нести ответственность за разглашение информации о жильцах, вплоть до уголовной. Однако это возможно только в том случае, если требование о конфиденциальности прямо закреплено в их должностной инструкции.

Как пояснил депутат в комментарии ТАСС, жители дома могут включить такой пункт в инструкцию консьержа на общем собрании:

«Что касается беспокойства о приватности информации, которой обладает консьерж, то оно решается правилами, закрепленными в должностной инструкции, утвержденной общим собранием. В ней должен быть чётко прописан отдельный пункт о конфиденциальности — запрет на разглашение любой информации о жильцах и их гостях третьим лицам».

Если это требование будет нарушено, консьержа, как напомнил Владимир Кошелев, могут не только уволить, но и привлечь к уголовной ответственности по статье 137 УК РФ («Нарушение неприкосновенности частной жизни»).

Эта статья предусматривает штраф в размере дохода осуждённого за период до полутора лет, либо принудительные работы на срок до двух лет, либо лишение свободы на тот же срок. Если же противоправные действия были совершены с использованием служебного положения, ответственность становится строже.

Недавно по статье 137 УК РФ было передано в суд уголовное дело в отношении жительницы Алтайского края. По версии следствия, она пыталась собрать компрометирующую информацию на своего руководителя, установив диктофон в его служебном кабинете.

RSS: Новости на портале Anti-Malware.ru