Microsoft нашла критические баги в предустановленных Android-приложениях

Microsoft нашла критические баги в предустановленных Android-приложениях

Специалисты Microsoft нашли четыре опасные уязвимости во фреймворке, который используется в предустановленных приложениях для Android. В общей сумме такие приложения можно найти на миллионах мобильных устройств, поэтому баги могут стать массовой проблемой.

Хорошая новость заключается в том, что израильский разработчик MCE Systems уже устранил выявленные проблемы в безопасности. Если же ими воспользуется условный атакующий, он сможет получить высокие права в системе и в теории добраться до конфиденциальной информации.

«Как известно, ряд предустановленных в системе Android приложений нельзя полностью удалить без root-доступа. Таким образом, часть уязвимого софта пользователь может лишь отключить», — пишет команда исследователей из Microsoft 365 Defender.

Бреши получили следующие идентификаторы: CVE-2021-42598, CVE-2021-42599, CVE-2021-42600 и CVE-2021-42601. По шкале CVSS их опасность оценивается от 7,0 до 8,9 балла. Код демонстрационного эксплойта (proof-of-concept, PoC), показывающий инъекцию команды, выглядит так:

 

Microsoft решила не раскрывать полный список затронутых приложений, однако известно, что у проблемного фреймворка есть масса возможностей в системе: доступ к аудио, камере, питанию, геолокации, хранилищу и т. п.

Среди крупных софтовых проектов, использующих этот фреймворк, исследователи отметили такие:

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Система распознавания лиц перепутала нарушителя с его братом-близнецом

Московские камеры “опознали” преступника, находившегося в розыске. Его увезли в отделение полиции. Позже выяснилось, что задержанный — брат-близнец настоящего нарушителя закона.

Про историю с ошибкой в биометрии пишет Telegram-канал Baza. 11 августа одна из камер на Ярославском шоссе опознала 40-летнего Александра. Его лицо совпало с биометрическими данными преступника в розыске.

Полицейские получили задание и выехали по адресу регистрации нарушителя закона. Дверь им открыл мужчина с ориентировки, но представился он Михаилом и даже показал паспорт. Гражданин объяснил, что в розыске не он, а его брат-близнец.

“Такая история сперва вызвала лишь насмешки, и Михаила доставили в отдел, но там, спустя время, его слова подтвердились”, — пишет Baza.

Административный надзор после уголовного дела за ограбление нарушил брат-близнец задержанного. Не-Александра из полиции отпустили, но посоветовали “не светиться” под уличными камерами, пока не найдут настоящего нарушителя.

Ошибки в системе распознавания лиц среди близнецов — классический баг технологии Facial Recognition System.

В прошлом месяце мы рассказывали о новом изобретении израильских специалистов — маска, защищающая от технологий распознавания лиц. На ткань или бумагу наносят определенный рисунок. Паттерн не даёт технологиям распознать человека в маске.

В ноябре 2019 года Савеловский районный суд Москвы оставил без удовлетворения иск жительницы столицы, которая требовала признать незаконным применение системы распознавания лиц в работе камер наблюдения. Суд пришел к выводу, что слежка не является вмешательством в частную жизнь граждан.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru