Израильский исследователь обнаружил более 40 уязвимостей в ОС Tizen

Израильский исследователь обнаружил более 40 уязвимостей в ОС Tizen

Операционная система Tizen построена на базе ядра Linux. Она была разработана и продолжает поддерживаться участниками Technical Steering Group, в состав которой входят такие гиганты индустрии, как Intel и Samsung. И именно компания Samsung попыталась использовать Tizen в качестве своебразной замены Android.

Хотя полноценной замены из Tizen явно не вышло, в настоящее время под ее управлением работают около 30 миллионов «умных» телевизоров, стиральные машины, холодильники, «умные» часы (в том числе Samsung Gear), а также некоторые смартфоны Samsung, в основном выпускаемые для рынков России, Индии и Бангладеш. Так, в этом году компания планирует поставить на рынок более 10 миллионов Tizen-смартфонов, пишет xakep.ru.

Еще восемь месяцев назад Амихай Нейдерман (Amihai Neiderman), глава исследовательского подразделения израильской компании Equus Software, решил провести аудит безопасности ОС Tizen, так как, по его словам, больше этим вопросом никто не интересовался. На конференции Security Analyst Summit специалист выступил с докладом, рассказав о своих «находках», обнаруженных в ходе анализа. Дело в том, что Нейдерман выявил в ОС более сорока 0-day уязвимостей и пришел в ужас от качества кода. «Уязвимы практически все системные приложения», — сетует эксперт.

 

Исследователь обнаружил, что разработчики Samsung не стали утруждаться и позаимствовали немалую часть кода из операционной системы Bada, которую Samsung разрабатывала ранее. В итоге кодовая база ОС выглядит устаревшей «будто на дворе все еще 2005 год», — говорит Нейдерман.

«Это, вероятно, самый плохой код, что я видел в жизни. Всё, что можно было сделать неправильно, сделано неправильно. Очевидно, что люди, разбирающиеся в безопасности, даже не просматривали этот код и не писали его. Все равно что нанять недоучку и позволить ему написать для вас ПО», — рассказал исследователь журналистам Vice Motherboard.

Впрочем, большинство уязвимостей все-таки новые: они содержатся в коде, который был написан специально для Tizen в последние годы. К примеру, эксперту удалось взломать Samsung Smart TV при помощи уязвимости в каталоге приложений Tizen Store, который является эквивалентом Google Play Store. С помощью Tizen Store на устройство можно доставить любую малварь, а за счет высоких привилегий каталога возможности хакера ничем не ограничены, он получает полный контроль над устройством. Плюс heap overflow баг позволяет обойти аутентификацию Tizen Store.

Дальнейшее изучение ОС также выявило некорректное использование функции strcpy(), большие проблемы с реализацией SSL-шифрования, из-за которых информация передается в открытом виде, и множество других уязвимостей.

По словам Нейдермана, Samsung определенно планирует развивать Tizen и далее, для ОС явно готовят что-то крупное. В ходе своего выступления исследователь рассказал, что Samsung в частности призывает разработчиков писать для операционной системы больше приложений и активно расширяет инфраструктуру поддержки. «Велика вероятность, что в следующем году Galaxy S9 будут работать на Tizen, но ОС для этого еще недостаточно зрелая», — говорит специалист.

При этом за все прошедшие месяцы специалист так и не сумел связаться с представителями Samsung, хотя долго и безуспешно пытался сообщить им о проблемах. Только теперь, когда Нейдерман публично рассказал о небезопасности Tizen на Security Analyst Summit, и информация попала в прессу, представители Samsung «заметили» исследователя и поспешили заверить общественность, что работа над исправлением уязвимостей уже ведется. Нейдерман подтвердил, что связь с разработчиками Samsung налажена. В настоящий момент он помогает компании в работе над патчами.

Yandex Zen AMПодписывайтесь на канал "Anti-Malware" в Yandex Zen, чтобы узнавать о новостях и эксклюзивных материалах по информационной безопасности в своей персональной ленте.

WhatsApp ограничивает пересылку сообщений для борьбы с дезинформацией

Пользователи WhatsApp не раз сталкивались с дезинформацией самой разной формы, которая обычно распространялась путем многократной пересылки одного и того же сообщения. Теперь разработчики мессенджера решили устранить эту проблему, для этого был реализован механизм, который ограничивает пересылку одного сообщения до пяти раз.

Соответствующие правила уже были протестированы на пользователях из Индии — там эта функция появилась еще шесть месяцев назад. Пойти на такой шаг владельцев мессенджера заставили обвинения в постоянно распространяемой фейковой информации.

До введения этих ограничительных мер пользователи могли пересылать одно сообщение до 20 раз. Представители WhatsApp уточнили, что новые правила вводятся после того, как они были тщательно протестированы в шестимесячный период.

«Введенный лимит значительно сокращает число пересылаемых сообщений по всему миру. Это поможет WhatsApp стать более приватным мессенджером. Мы будем продолжать прислушиваться к нашим пользователям, чтобы сделать сервис еще лучше и безопаснее», — цитирует «Би-би-си» одного из представителей мессенджера.

Yandex Zen AMПодписывайтесь на канал "Anti-Malware" в Yandex Zen, чтобы узнавать о новостях и эксклюзивных материалах по информационной безопасности в своей персональной ленте.

RSS: Новости на портале Anti-Malware.ru