W Androidzie znaleziono kolejny błąd bezpieczeństwa. Ileż można?

Jeszcze nie tak dawno pisałem dla Was o błędzie w zabezpieczeniach biblioteki Stagefright a już kolejne zagrożenie zdążyło pojawić się na horyzoncie. Podczas konferencji USENIX, badacze z IBM ujawnili kolejną możliwość ataku na smartfony użytkowników bez ich wiedzy.

Google ostatnio zdecydowanie nie ma szczęścia jeżeli mówimy o sprawach związanych z bezpieczeństwem. Jakiś czas temu okazało się, że prawie 95% smartfonów jest podatne na zagrożenie atakiem Stagefright, a teraz poznaliśmy kolejną lukę, która pozwala na podniesienie poziomu uprawnień systemowych bez konieczności udziału użytkownika.

Sama luka została oznaczona jako CVE-2014-3153 i znajduje się w klasie OpenSSLX509Certificate. Na pewno jest lepiej niż wcześniej, bo sama podatność dotyczy zaledwie 55% smartfonów i tabletów działających pod kontrolą Androida w wersji od 4.3 do 5.1.

Podczas instalacji niebezpiecznej aplikacji użytkownik nie jest proszony o nadanie jakichkolwiek uprawnień. Po uruchomieniu również nie zobaczymy żadnych symptomów. Za to w tle, aplikacja dostanie większe uprawnienia i nadpisze dowolną inną znajdującą się w naszym urządzeniu. Od tego momentu już krótka droga do zdalnego podsłuchu, podglądania czy wykradzenia danych.

Google zostało poinformowane i stworzyło już stosowną poprawkę. Nie wiemy jednak dla jakich urządzeń producenci oraz sieci komórkowe wydadzą tę aktualizację.

źródło: IBM