Уразливість в Android дозволяє захоплювати пристрої Huawei, Xiaomi, Samsung та Oppo

Експерти Google Threat Analysis Group оголосили про виявлення вразливості нульового дня в операційній системі Android. Вразливість CVE-2019-2215 загрожує користувачам пристроїв Google Pixel, а також смартфонів і планшетів на базі Android, розроблених Huawei, Xiaomi, Samsung, Oppo, Moto та Oreo.

Проблема викликана наявністю помилки use-after-free (використання області пам'яті після звільнення) у драйвері фреймворку міжпроцесної взаємодії Binder. Ця вразливість може експлуатуватися віддалено і в теорії дозволяє зловмисникам підвищувати свої привілеї в локальній системі на рівні ядра. Зрештою, «баг» дозволяє віддалено «рутувати» (отримувати права суперкористувача) пристрій. Вразливість CVE-2019-2215 може експлуатуватися двома способами: або через спеціально підготовлений шкідливий додаток, або через онлайнові атаки. У другому випадку зловмисникам потрібно спарювати експлойт до цієї вразливості з ще одним, спрямованим на вразливість у коді браузера Chrome.

За твердженням експерта Threat Analysis Group, вразливість зачіпає «більшість пристроїв під Android випущених до осені 2018 року», і той самий експлойт спрацює на всіх пристроях з мінімальною «адаптацією» під різні моделі або зовсім без такої.

Стоун також зазначила, що має «технічну інформацію» про те, що вразливість використовувалася NSO Group або кимось із її клієнтів. NSO — це ізраїльська фірма, яка займається пошуком уразливостей у мобільних операційних системах та створенням та продажем експлойтів до них. NSO, однак, стверджує, що жодного відношення до експлуатації цієї вразливості не має.

Зазначено, що той самий «баг» було виявлено та виправлено в грудні 2017 року в ядрі 4.14 LTS Linux (без присвоєння індексу CVE) та в ядрі Android версій 3.18, 4.4 та 4.9. Однак потім уразливість якимось чином знову з'явилася в Android.

На жовтень 2019 року підтверджено наявність вразливості в наступних пристроях: Google Pixel 1, Pixel 1 XL, Pixel 2, Pixel 2 XL на базі Android 9 та Android 10 Preview; Samsung S7-S9; Huawei P20; Xiaomi A1, Redmi 5A і Redmi Note 5; Oppo A3; Moto Z3; також уразливі смартфони серії Oreo LG.

Зважаючи на те, що вразливість активно експлуатується, експерти Google опублікували відомості про «базі» лише через тиждень після виявлення.

Пристрої Google Pixel отримають патчі у жовтневому кумулятивному оновленні для Android. Коли те саме станеться з іншими пристроями, залежить від їх виробників.

Інші новини