Критические баги позволяют шпионить за миллионами Android-смартфонов

Критические баги позволяют шпионить за миллионами Android-смартфонов

Критические баги позволяют шпионить за миллионами Android-смартфонов

Уязвимости в аудиодекодерах чипсетов Qualcomm и MediaTek могут позволить злоумышленникам удалённо получить доступ к медиаматериалам и аудиопереговорам владельцев мобильных устройств на Android.

Согласно отчёту израильской компании Check Point, выявленные проблемы в безопасности могут служить отправной точкой при запуске атак с удалённым выполнением кода (RCE). Для эксплуатации киберпреступник должен отправить жертве специально созданный аудиофайл.

«Степень эксплуатации бреши может варьироваться от запуска вредоносной программы до получения доступа к мультимедийным файлам пользователя. В отдельных случаях атакующий может даже стримить с помощью камеры мобильного устройства», — пишут специалисты.

«Помимо этого, Android-приложение с низкими правами может использовать уязвимость для доступа к переговорам и данным жертвы».

Проблема затрагивает формат Apple Lossless Audio Codec (ALAC), который изначально разрабатывали купертиновцы (в 2011 году открыли его исходный код). С тех пор ряд разработчиков, среди которых Qualcomm и MediaTek, использовали ALAC для собственных аудиодекодеров.

Выявленные Check Point баги получили следующие идентификаторы:

  • CVE-2021-0674 (5,5 балла по CVSS, MediaTek) — некорректная проверка ввода в декодере ALAC.
  • CVE-2021-0675 (7,8 балла по CVSS, MediaTek) — возможность локального повышения прав в декодере ALAC (берёт начало от проблемы записи за пределами границ).
  • CVE-2021-30351 (9,8 балла по CVSS, Qualcomm) — доступ к памяти за пределами границ из-за некорректной проверки числа фреймов.

Демонстрационный эксплойт Check Point позволяет как раз провести стрим с помощью камеры скомпрометированного смартфона.

WhatsApp пустит детей младше 13 лет, но с жёстким родительским контролем

В WhatsApp (принадлежит корпорации Meta, признанной экстремистской и запрещённой в России) готовят новый формат аккаунтов для детей младше 13 лет. Пользоваться мессенджером они смогут, но не самостоятельно: такие учётные записи будут работать только под контролем родителей.

По данным Meta (признана экстремистской и запрещена в России), функция уже начала постепенно запускаться по всему миру.

Речь идёт об аккаунтах, находящихся под контролем родителей. С ними ребёнок сможет переписываться и созваниваться, но только с сохранёнными контактами. При этом сама переписка останется приватной: сообщения и звонки будут защищены сквозным шифрованием, а родители не получат доступа к их содержимому.

Зато взрослые смогут контролировать многие другие вещи. Например, они будут подтверждать запросы на переписку и приглашения в группы от неизвестных контактов. Такие запросы будут попадать в отдельную папку, защищённую родительским ПИН-кодом.

Кроме того, детские аккаунты получат довольно длинный список ограничений. Для них будут недоступны Meta AI, каналы, статусы, Chat Lock, App Lock, привязка других устройств, передача геолокации, исчезающие фото и видео для однократного просмотра, а также исчезающие сообщения в личных чатах. Группы такие пользователи тоже не смогут создавать самостоятельно.

Meta отдельно подчёркивает, что даже видимость профиля у таких аккаунтов будет ограничена. Фото профиля ребёнка и время последнего посещения смогут видеть только сохранённые контакты. А любые изменения настроек приватности нужно будет согласовывать с родителями.

При желании родители смогут включить уведомления об активности аккаунта. Например, сервис сообщит, если ребёнок добавил, заблокировал или пожаловался на контакт, удалил чат или контакт, вступил в группу, вышел из неё или если в групповых чатах были включены исчезающие сообщения.

Настройка такого аккаунта выглядит довольно просто. На устройстве ребёнка нужно установить свежую версию WhatsApp, выбрать пункт создания аккаунта с родительским управлением, а затем указать номер телефона и дату рождения ребёнка. После этого родителю предложат отсканировать QR-код своим смартфоном и задать шестизначный ПИН-код, который и будет использоваться для подтверждения действий.

Когда пользователю исполнится 13 лет, ограничения автоматически снимут. Подросток получит доступ ко всем обычным функциям WhatsApp, включая каналы, статусы и Meta AI, а родительские уведомления и контроль отключатся.

RSS: Новости на портале Anti-Malware.ru