Хакер #305. Многошаговые SQL-инъекции
Известные ИБ-эксперты, специалисты Security Research Labs, Карстен Нол (Karsten Nohl) и Якоб Лелл (Jakob Lell) представили интересный доклад на конференции Hack In The Box. Исследователи обнаружили, что многие крупные производители устройств на Android, в том числе компании Samsung, Xiaomi, OnePlus, Sony, HTC, LG, ZTE и Huawei, лишь создают видимость выхода патчей, тогда как на самом деле многие баги остаются неисправленными.
Проблема обновления Android-устройств всегда стояла очень остро. В настоящее время разработчики Google каждый месяц выпускают набор обновлений безопасности для своей ОС, а далее эти патчи попадают в руки производителей многочисленных устройств, которые должны самостоятельно адаптировать обновления для своих продуктов и донести их до конечных пользователей. К сожалению, фрагментация рынка по-прежнему велика, а вендоры по-разному относятся к своим обязанностям. Из-за этого многие устройства не получают важных обновлений вовсе.
Нол и Лелл, однако, обнаружили, что и без того печальное положение вещей на самом деле выглядит еще хуже. На протяжении двух лет специалисты тщательно изучали состав обновлений безопасности, выпускаемых крупнейшими производителями устройств на базе Android, и проделали огромную работу, изучив свыше 1200 смартфонов.
Как показало исследование, многие производители хитрят во время выпуска обновлений. Хотя они утверждают, что их устройства получили все актуальные патчи, это ложь, так как некоторые исправления, по неизвестным причинам, «выпадают» из списков и в итоге вообще не доходят до пользователей, о чем те даже не могут узнать. Эксперты объясняют, что порой некоторые патчи не получают даже устройства Pixel.
«Иногда эти ребята просто изменяют дату, не устанавливая никаких патчей. Видимо, дело в маркетинге, они просто ставят уровень обновлений на произвольную дату, которая выглядит лучше всего, — рассказали эксперты журналистам Wired. — Мы обнаружили, что некоторые производители не установили ни единого патча, но меняли даты выхода обновлений на протяжении многих месяцев».
Чаще всего, проблема носит менее масштабный характер. Так, на большинстве устройств Sony и Samsung может не хватать лишь пары обновлений, что может быть простой случайностью. Однако в некоторых случаях все обстоит гораздо хуже. Так, смартфоны J3, выпущенные Samsung в 2016 году, должны иметь все обновления безопасности за 2017 год, но на самом деле 12 патчей не хватает, причем два исправления критические.
При этом Нол и Лелл объясняют, что зачастую «бутылочным горлышком» на пути обновлений становятся производители чипсетов, а не сами изготовители смартфонов. К примеру, компания Mediatek зачастую «забывает» о 9-10 патчах, выход которых происходит значительно позже заявленных дат.
В целом аналитики Security Research Labs пришли к следующим выводам, относительно крупных производителей:
- 0-1 пропущенных патчей: Google, Sony, Samsung, Wiko Mobile;
- 1-3 пропущенных патчей: Xiaomi, OnePlus, Nokia;
- 3-4 пропущенных пата: HTC, Huawei, LG, Motorola;
- 4 и более пропущенных патчей: TCL, ZTE.
Для проверки устройств на предмет установленных патчей исследователи создали специальное бесплатное приложение SnoopSnitch, которое позволяет узнать, какие исправления на самом деле установлены на устройстве.
