Критическая уязвимость при обработке медиа-сообщений в Android

Критическая уязвимость при обработке медиа-сообщений в Android

Специализирующаяся на компьютерной безопасности компания Zimperium zLabs объявила о выявлении критической уязвимости в коде обработки мультимедийных данных платформы Android, позволяющей организовать выполнение кода через отправку сообщений MMS или Google Hangout.

По предварительной оценке проблеме подвержено около 95% имеющихся в обиходе Android-устройств, т.е. потенциальными жертвами уязвимости являются 950 млн пользователей. Касающиеся уязвимости детали планируется объявить на конференциях Black Hat USA и DEF CON 23, которые пройдут 5 и 7 августа.

Проблема может быть эксплуатирована в момент начальной обработки сообщения без необходимости выполнения пользователем каких-либо действий. Для получения контроля над устройством достаточно знать номер мобильного телефона жертвы. В некоторых случаях атакующий может удалить эксплуатирующее уязвимость сообщение, при этом останется лишь уведомление о его получении. Причиной уязвимости является выход за границы буфера в библиотеке обработки мультимедийных данных, который можно инициировать при обработке ряда популярных форматов. Кроме передачи сообщений атака также может быть совершена и через другие приложения, в том числе при открытии специально оформленных страниц в web-браузере, сообщает opennet.ru.

Проблеме присвоено кодовое имя Stagefright и она оценивается как самая опасная уязвимость в Android за всю историю существования платформы. Уязвимость проявляется во всех версиях Android, начиная с выпуска 2.2. На устройствах с Android 4.1 "Jelly Bean" и более новыми выпусками выполнение кода злоумышленника будет ограничено sandbox-окружением приложения и связанным с ним полномочиями (чтение и отправка сообщений, доступ к адресной книге). В старых версиях Android, которые составляют 11% от общего числа используемых устройств, атакующий может получить полный доступ к системе. Для выхода из sandbox-окружения и повышения своих привилегий требуется задействование дополнительных уязвимостей, например, уже используемых в локальных эксплоитах PingPongRoot, Towelroot и put_user.

Несмотря на то, что компания Google намерена в течение считанных часов представить патчи с исправлением уязвимости, проблема усугубляется тем, что для защиты требуется обновление прошивки. Подобные обновление выпускаются производителями с большим запозданием и только для актуальных моделей устройств. Пользователи смартфонов, выпущенных более 18 месяцев назад, скорее всего останутся без исправления. Для того чтобы избежать одного из проявлений уязвимости рекомендуется использовать браузер Firefox, в котором данная уязвимость уже устранена начиная с выпуска Firefox 38(вероятно, имеется в виду уязвимость CVE-2015-2717, которая могла приводить к краху при разборе некорректных мета-данных в файлах MP4). Проблема также устранена в альтернативной сборке PrivatOS 1.1.7.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Депутат Немкин назвал важной мерой усиление ответственности для дропов

Член Комитета Госдумы по информационной политике Антон Немкин назвал инициативу по введению уголовной ответственности за дропперство (посредничество при выводе средств, похищенных киберпреступниками и мошенниками) давно ожидаемым шагом.

Как отметил парламентарий в комментарии для «РИА Новости», без участия дропов большинство мошеннических схем просто не работает. В некоторых случаях, по его словам, их роль является ключевой.

Именно дропы, по словам Антона Немкина, обеспечивают вывод похищенных средств, что позволяет организаторам преступлений оставаться вне поля зрения правоохранительных органов. В результате каждый, кто соглашается участвовать в такой цепочке, становится её соучастником.

Последствия, как предупредил депутат, могут быть серьёзными уже сейчас, даже до вступления закона в силу: от блокировки банковских счетов до уголовного преследования. Прецеденты уже имеются. Так, в Санкт-Петербурге два человека были осуждены на три года лишения свободы с возмещением ущерба пенсионеру, у которого телефонные мошенники похитили почти 4 млн рублей. Осуждённые участвовали в обналичивании этих средств.

«Важно понимать: дроп — это не просто "исполнитель по глупости". Даже если человек не знает всей схемы и "просто дал карту за процент" — он становится участником преступной группы. Это не административное правонарушение, а соучастие в серьёзных преступлениях, включая мошенничество, отмывание денег и содействие кибератакам. Введение уголовной ответственности закроет эту "серую зону" и сделает наказание более чётким и неотвратимым», — подчеркнул Антон Немкин.

Законопроект о введении уголовной ответственности за участие в дропперских схемах уже поддержан правительственной комиссией и в ближайшее время будет внесён в Госдуму.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru