70 млн смартфонов Xiaomi уязвимы для удаленных атак

70 млн смартфонов Xiaomi уязвимы для удаленных атак

70 млн смартфонов Xiaomi уязвимы для удаленных атак

Исследователи IBM X-Force сообщили об обнаружении в MIUI (альтернативная прошивка для Android, созданная компанией Xiaomi Tech) опасной уязвимости, которая допускает удаленное выполнение произвольного кода. По оценкам исследователей, только в 2015 году компания отгрузила более 70 000 000 устройств, которые могут быть уязвимы перед данным багом.

Проблема затрагивает версии, вышедшие до MIUI Global Stable 7.2, и была обнаружена в аналитическом компоненте, который используется различными приложениями для сбора данных о собственной работе. По данным исследователей, данный компонент имеет собственный механизм обновлений, который нельзя считать безопасным: он может быть скомпрометирован с помощью man-in-the-middle атаки и использован для заражения системы малварью.

IBM X-Force сообщает, что означенный аналитический модуль обращается к серверам обновлений через HTTP. Скачивание обновлений тоже происходит через HTTP, и все это является серьезной проблемой. Так как загруженные пакеты обновлений не подвергаются никакой верификации, и даже сервера, с которых было загружено обновление, не проверяются, атакующие получают шанс выполнить вредоносный код в системе, к тому же имея высокие права (как пользователь system), пишет xakep.ru.

Для осуществления атаки злоумышленникам понадобится лишь прибегнуть к простейшим техникам спуфинга, перехватить запрос на обновление и вернуть ответ, прикинувшись сервером. Классическая mitm-атака, которую не так уж трудно осуществить.

Исследователи пишут, что уязвимый аналитический компонент используют как минимум четыре различных приложения из Xiaomi MIUI, и одно из этих приложений – дефолтный браузер.

Представители IBM X-Force уведомили разработчиков Xiaomi о проблеме еще в январе 2016 года, и к настоящему моменту компания уже исправила уязвимость. Теперь пользователям настоятельно рекомендуется обновить прошивкудо безопасной версии 7.2.

Пенсионеры смогут подтверждать право на скидки в магазинах через MAX

Процедура получения льгот, вводимых российским ретейлом для людей преклонного возраста, скоро упростится. Таким покупателям достаточно будет зайти в MAX и предъявить на кассе QR-код, сгенерированный на основе цифрового ID.

Сервис подтверждения статуса пенсионера через MAX уже запущен в пилотном режиме компанией X5.

В настоящее время нововведение доступно лишь москвичам — посетителям ряда «Перекрестков» и «Пятерочек», освоившим самообслуживание. В следующем месяце планируется распространить его на все торговые точки этих сетей.

«Каждый месяц в наши магазины приходят около 20 млн покупателей пенсионного возраста, — отметил Александр Костин, управляющий директор Х5 Tech. — Мы последовательно развиваем цифровые сервисы, которые делают покупки для клиентов любого возраста быстрее и удобнее, а процессы в магазинах — более эффективными».

Воспользоваться новой функцией несложно. На кассе самообслуживания нужно отсканировать товар, открыть раздел «Скидки пенсионерам и другие», выбрать из списка «Скидка пенсионерам» и поднести к считывателю смартфон с QR-кодом в профиле MAX (в мессенджере на такие случаи предусмотрена опция «Показать ID»).

Возможность использования MAX для подтверждения возраста в России закреплена законом. Создаваемый в мессенджере цифровой ID разрешено применять с этой целью наравне с бумажными документами, и ретейлеры уже начали осваивать это новшество при продаже товаров 18+.

RSS: Новости на портале Anti-Malware.ru