Zdalne wykonanie kodu w Androidzie przez MMSa

Eksperci z firmy Zimperium ostrzegają przed odkrytą przez siebie podatnością w systemie operacyjnym Android. „Największa dziura w historii Androida” ma polegać na możliwości zdalnego wykonania kodu poprzez specjalnie przygotowanego MMSa bez konieczności jakiegokolwiek udziału właściciela docelowego urządzenia.

Zgodnie z raportem podatny jest Android w wersjach 2.2 i nowszych, co ma stanowić około 95 % wszystkich urządzeń (około 950 milionów sztuk!) z tym systemem operacyjnym. Problem dotyczy biblioteki Stagefright, a szczegóły zostaną przedstawione podczas konferencji Black Hat USA oraz DEF CON 23.

Stage Fright

Wykonanie ataku sprowadza się jedynie do przesłania na docelowy numer wiadomości MMS zawierającej specjalnie spreparowany plik multimedialny. W pełni złośliwy atak może nawet już po infekcji a przed odczytaniem MMS-a, usunąć wiadomość – nie zauważymy nawet zatem nic podejrzanego.

Stage Fright — przykładowy atak

Firma Google otrzymała już wszystkie szczegóły dotyczące podatności i przygotowała odpowiednie poprawki. Jednak jak to bywa z Androidem, odpowiednie poprawki muszą teraz przygotować poszczególni producenci sprzętów pracujących pod kontrolą tego mobilnego systemu operacyjnego, a to może potrwać.

Co ważne, w wywiadzie udzielonym npr.org Adrian Ludwig z Google Android Security Team wycenił wagę powyższej podatności na „high”, co oznacza, że prawdopodobnie jest to możliwość zdalnego wykonania kodu bez uzyskania wysokich uprawnień.

— Wojciech Smol