На конференции Black Hat, которая состоится в начале августа в Лас-Вегасе, обещают обнародовать подробности о новом, опасном баге в Android ОС. Специалисты компании Zimperium Mobile Security утверждают, что нашли способ взламывать устройства под управлением Android ОС, просто отправляя на них MMS-сообщения.
Уязвимости, получившей имя Stagefright, в общей сложности подвержены порядка миллиарда устройств во всем мире, так как она затрагивает устройства начиная с Android 2.2 и выше. Пока подробностей немного, авторы находки берегут их для доклада на Black Hat. Тем не менее, известно, что баг обнаружился в коде Android Open Source Project (AOSP), а точнее в библиотеке Stagefright (давшей имя уязвимости), отвечающей за обработку ряда медиа-форматов. В частности, проблема заключается в обработке видео и контента из MMS-сообщений.
По словам экспертов Zimperium Mobile Security, эксплуатацию данной уязвимости можно произвести вообще без ведома пользователя. Достаточно прислать ему составленное определенным образом MMS-сообщение, которое пользователь может даже не открывать. Устройство все равно, самостоятельно исполнит присланный код, а сообщение может самоликвидироваться еще до того, как пользователь вообще его заметит. Хакеры, в освою очередь, могут получить доступ к камере, микрофону, памяти, и делать в системе, что захотят.
Однако в данном случае страшна не только сама уязвимость, которую по масштабности можно сравнить с Heartbleed для ПК, страшно, что ситуация с обновлением Android ОС весьма и весьма печальна. Дело в том, что команда Google сработала оперативно. Как только Zimperium Mobile Security сообщили о проблеме, в течение 48 часов были выпущены патчи, закрывающие данный баг. Но когда эти заплатки дойдут до конечных пользователей и дойдут ли вообще – большой вопрос. Выпуск обновлений (в том числе и критических) ложится на плечи производителей устройств, а им порой требуются месяцы, чтобы выпустить даже самый экстренный патч.
Представители Zimperium Mobile Security замечают, что устройства старше 18 месяцев с момента выпуска, скорее всего, вообще не получат никаких обновлений, а появление эксплоитов – лишь вопрос времени.
Исследователи сообщают, что наиболее серьезная угроза нависла над устройствами, работающими под управлением Android «младше» версии Jelly Bean (4.3), а это порядка 11% всех Android-девайсов в мире. На них попросту нет никаких механизмов защиты, препятствующих атакам такого рода, они появились в более поздних версиях ОС. Однако по причине отсутствия, или очень медленного выхода обновлений, под угрозой находится 95% всех Android-устройств, вне зависимости от версии ОС.
Фото: mstable@flickr
