Kas jums jāzina par stagefright 2.0

Pēdējie pāris mēneši ir piepildīti ar daudzām neskaidrībām, kas saistītas ar virkni jautājumu, kurus tautā dēvēja par Stagefright - šo vārdu ieguva, jo lielākajai daļai atrasto problēmu ir sakars ar libstagefright operētājsistēmā Android. Drošības firma Zimperium ir publicējusi to, ko viņi sauc par Stagefright 2.0, ar divām jaunām problēmām, kas saistītas ar mp3 un mp4 failiem, ar kuriem var manipulēt, lai jūsu tālrunī izpildītu ļaunprātīgu kodu.

Šeit ir tas, ko mēs zinām līdz šim, un kā sevi nodrošināt.

Kas ir Stagefright 2.0?

Pēc Zimperiuma teiktā, nesen atklātu ievainojamību pāris ļauj uzbrucējam uzrādīt Android tālruni vai planšetdatoru ar failu, kas izskatās kā MP3 vai MP4, tātad, kad šī faila metadati tiek priekšskatīti OS, kuru fails varētu izpildīt ļaunprātīgs kods. Gadījumā, ja notiek uzbrukums cilvēkam vidējā stāvoklī vai vietne, kas izveidota speciāli šo nepareizi izveidoto failu piegādei, šo kodu var izpildīt, lietotājam nekad nezinot.

Zimperium apgalvo, ka ir apstiprinājis attālo izpildi, un 15. augustā pievērsa tam Google uzmanību. Atbildot uz to, Google piešķīra pāriem CVE-2015-3876 un CVE-2015-6602 paziņoto problēmu pāri un sāka darbu pie labojuma.

Vai tiek ietekmēts mans tālrunis vai planšetdators?

Vienā vai otrā veidā, jā. CVE-2015-6602 attiecas uz ievainojamību libutilā, un kā Zimperium norāda savā ziņojumā, kurā paziņo par šīs ievainojamības atklāšanu, tas ietekmē katru Android tālruni un planšetdatoru, sākot ar Android 1.0. CVE-2015-3876 ietekmē katru Android 5.0 un jaunāku tālruni vai planšetdatoru, un teorētiski to var piegādāt, izmantojot vietni vai cilvēku vidējā uzbrukumā.

TIKAI.

Pašlaik nav publisku piemēru par to, ka šī ievainojamība jebkad tiek izmantota, lai kaut ko izmantotu ārpus laboratorijas apstākļiem, un Zimperium neplāno dalīties ar koncepcijas pierādījuma izmantošanu, ko viņi izmantojuši, lai demonstrētu šo problēmu Google. Lai gan ir iespējams, ka kāds cits varētu izdomāt, ka šī priekšrocība tiek izmantota, pirms Google izdod plāksteri, taču maz ticams, ka informācija par šo izmantošanu joprojām tiek glabāta privāti.

Ko Google dara šajā sakarā?

Saskaņā ar Google paziņojumu oktobra drošības atjauninājums novērš abas šīs ievainojamības. Šie ielāpi tiks izveidoti AOSP, un tie tiks ieviesti Nexus lietotājiem, sākot ar 5. oktobri. Eagle eyed lasītāji, iespējams, pamanīja Nexus 5X un Nexus 6P, kurus nesen apskatījām, jau bija instalēts 5. oktobra atjauninājums, tāpēc, ja jūs iepriekš pasūtījāt kādu no šiem tālruņiem, jūsu aparatūra tiks piegādāta ar labojumu pret šīm ievainojamībām. Papildu informācija par plāksteri būs Android drošības Google grupā 5. oktobrī.

Kas attiecas uz tālruņiem, kas nav Nexus, Google 10. septembrī partneriem sniedza oktobra drošības atjauninājumu un sadarbojās ar oriģinālo iekārtu ražotājiem un mobilo sakaru operatoriem, lai atjauninājumu piegādātu pēc iespējas ātrāk. Apskatot pēdējā Stagefright ekspluatācijā izlaboto ierīču sarakstu, jums ir pamatots attēls par to, kāda aparatūra tiek uzskatīta par prioritāti šajā procesā.

Kā es varu būt drošs, kamēr tālrunī vai planšetdatorā nonāk plāksteris?

Gadījumā, ja kāds patiešām skraida ar Stagefright 2.0, lai izmantotu un mēģinātu inficēt Android lietotājus, kas atkal ir ļoti maz ticams, jo trūkst publisku ziņu, atslēgai uz drošu palikšanu ir viss, kas saistīts ar uzmanības pievēršanu vietai, kurā atrodaties. pārlūkošanu un to, ar ko esat izveidojis savienojumu.

Ja vien iespējams, izvairieties no publiskiem tīkliem, paļaujieties uz divu faktoru autentifikāciju un pēc iespējas vairāk atrodieties tālu no ēnainām vietnēm. Galvenokārt veselais saprāts - tīmekļa lietas, lai sevi uzturētu drošībā.

Vai tas ir pasaules gals?

Pat ne mazliet. Lai gan visas Stagefright ievainojamības patiešām ir nopietnas un tās ir jāuztver kā tādas, saziņa starp Zimperium un Google, lai nodrošinātu šo problēmu risināšanu pēc iespējas ātrāk, ir bijusi fantastiska. Zimperium pamatoti ir pievērsis uzmanību problēmām, kas saistītas ar Android, un Google ir spēris labot. Ideālā pasaulē šīs ievainojamības nepastāvētu, taču tās pastāv un tiek ātri novērstas. Nevar prasīt daudz ko citu, ņemot vērā situāciju, kurā atrodamies.