Новая уязвимость в OC Android

Новая уязвимость в OC Android

Специалист по защите информации Томас Кэннон обнаружил очередную ошибку безопасности во встроенном Интернет-обозревателе операционной системы Android. Эксплуатируя эту уязвимость, злоумышленники могут похитить любые данные, хранящиеся на карте памяти мобильного устройства.

Согласно заявлению исследователя, изъян существует в механизме обработки загружаемых HTML-файлов и, в частности, содержащихся в них сценариев JavaScript. С помощью этой уязвимости можно извлечь и отправить на удаленный сервер какую угодно информацию со съемного SD-носителя, а также некоторые файлы с запоминающего устройства самого телефона.

Ошибка безопасности возникает в результате наложения нескольких различных факторов. В своем блоге эксперт разъяснил сущность выявленной им уязвимости следующим образом:

"1. Обозреватель Android не задает пользователю никаких вопросов при загрузке файла из Интернета; объект payload.html, например, будет сохранен как /sdcard/download/payload.html.
2. С помощью JavaScript можно заставить устройство автоматически запустить этот файл, так что сохраненный payload.html будет отображен в браузере.
3. Открывая сохраненный файл в локальном контексте, обозреватель обработает и исполнит JavaScript-код, причем опять же без отображения каких бы то ни было уведомлений.
4. Когда HTML-файл открыт в локальном контексте, сценарий на JavaScript оказывается вправе читать содержимое файлов на карте памяти и некоторые другие данные.
5. Прочитав информацию из файла, тот же самый сценарий может отправить ее на удаленный сервер".

Некоторым утешением для пользователей Android-устройств могут послужить два факта. Во-первых, для похищения сведений через эту уязвимость злоумышленник должен указать в эксплойт-коде точное имя и местоположение того файла, который он хочет извлечь - в противном случае украсть ничего не удастся. Во-вторых, такой сценарий не будет иметь привилегий суперпользователя, а, следовательно, не сможет получить доступ к системным файлам в собственной памяти телефона.

Г-н Кэннон особо отметил, что серьезность уязвимости вынудила его выступить с предупреждением еще до выпуска соответствующего исправления от Google. Служба безопасности Android уже проинформирована о проблеме, но обновление еще предстоит разработать и опубликовать, а также обеспечить его доставку; пока все эти задачи не решены, пользователи остаются под угрозой компрометации данных.

Специалист рекомендовал владельцам Android-устройств пользоваться сторонними обозревателями (например, Opera), или же отключить обработку JavaScript в параметрах встроенного браузера. Сама Google предложила другой вариант - попросту отсоединить на время карту памяти и ждать выхода патча.

Дополнительная информация, включая видеофайл с демонстрацией уязвимости, доступна в первоисточнике.

Подпишитесь на новости

За размещение VPN могут на год лишить доступа ко всем хостингам РФ

Минцифры предлагает завести реестр лиц, размещающих на хостинге сервисы доступа к заблокированным ресурсам. Попадание в него может обернуться годовым отказом в услугах российских хостинг-провайдеров.

Такая норма, по словам пользователя Хабра freehabr, содержится в новом законопроекте о борьбе с мошенничеством.

Механика следующая: Роскомнадзор ведёт реестр, а хостеры не смогут предоставлять вычислительные мощности включённым в него лицам, обратившимся за услугой в течение года после внесения записи.

Сменить провайдера и продолжить как ни в чём не бывало не получится: ограничение привязано к клиенту.

Но формула «разместил любой VPN — получил бан» слишком широкая. В тексте есть условия: сервис должен обеспечивать доступ к ресурсам, заблокированным в России, а его владелец — не выполнить требования, на которые ссылается проект. Автоматического запрета за само использование VPN или прокси из приведённой нормы не следует.

А что с Telegram-ботом, который работает через прокси? Однозначного ответа этот фрагмент не даёт. Формулировка охватывает сети, сайты, информационные системы и программы, но применение нормы к конкретному сценарию потребует уточнений. Бизнесу здесь есть о чём спросить разработчиков документа.

Пока это только законопроект, но схема уже в целом вырисовывается: за нарушение требований к сервису обхода блокировок предлагают ограничивать возможность владельца заказывать хостинг — без оговорки, что отказ касается только самого спорного сервиса.

RSS: Новости на портале Anti-Malware.ru