Preorder drugiego tomu książki sekuraka: Wprowadzenie do bezpieczeństwa IT. -15% z kodem: sekurak-book
Broadpwn – zdalne wykonanie kodu w Androidzie bez interakcji użytkownika
Google właśnie wypuścił lipcowy Android Security Bulletin, gdzie wśród całej hordy błędów oznaczonych jako RCE/Critical, jest też CVE-2017-9417 w sterownikach Wi-Fi Broadcoma. Jeśli sam Google nadaje taką flagę dla buga w swoim produkcie, raczej nie może być drobnostka.
Pamiętacie podobną historię sprzed paru miesięcy? Wygląda to na podobny i wg autora nawet poważniejszy problem.
Badacz, który zidentyfikował problem pisze dość groźnie we wstępie do swojej prezentacji na tegorocznym BlackHat USA (koniec lipca):
But what happens when, underneath your heavily hardened OS, a separate chip parses all your Wi-Fi packets – and runs with no exploit mitigations whatsoever?
Meet Broadpwn, a vulnerability in Broadcom’s Wi-Fi chipsets which affects millions of Android and iOS devices, and can be triggered remotely, without user interaction (..)
Finally, we’ll tell the story of how we found the bug and exploited it to achieve full code execution – and how we went on to leverage our control of the Wi-Fi chip in order to run code in the main application processor.
Niektórzy z kolei studzą entuzjazm.
My radzimy regularnie aplikować łaty dla swoich urządzeń, a dotyczy to zarówno iOS jak i Androida.
Wyobraźcie sobie teraz co by się stało gdybyśmy mieli sprawnie działającego exploita dającego zdalnie (ofiara musi być w ~zasięgu sieci WiFi atakującego) wykonanie kodu na urządzeniu z uprawnieniami root. Wystarczy, że ktoś dołoży funkcję worma + moduł ransomware. Petya to przy tym betka.
–ms
zhuowei (ten co studzi temperament) twierdzi, że żeby się zabezpieczyć wystarczy wyłączyć auto-łączenie z dostępnymi sieciami. a jeśli to wystarczy to w sumie nie ma paniki żadnej
To jest włączone by default, a 60+% użytkowników nie zmienia ustawień poza dzwonkiem i tapetą. Udziały rynkow mówią, że Androidy, które nie dostaną aktualizacji(<6) nadal mają duy udział w rynku, a i te nowsze nie zawsze dostają aktualizacje na czas. Na ransomware wystarczy.
Myślę że 99,5% nie zmienia defaultów, a 99,99% nie zmienia tego żeby nie przyłączać się do zapamiętanych sieci :)
myślę, że trochę tragizujecie… na pewno nie aż taki duży odsetek… wśród moich (nietechnicznych) znajomych rzadko kto ma włączone auto połączenie
…sprawdzałem :D
Dlatego tylko Sony. Od kad kupilem Xperie X Compact, co miesiac dostaje patche, a ostatni w czerwcu to upgrade do 7.1.1
A w Xperii jest słownik?
Nexusy mają 7.1.2.
Ciekawe czy LineageOS łatają? Bo chyba pora się przestawić.
Wydaje się, że tak. U mnie w zakładce „About phone” jest coś takiego „Android security path level” który wskazuje na 5 lipiec 2017, także jest dobrze. Dzisiaj wyszedł nowy build lineage-14.1-20170719-nightly- być może łata ten błąd, trzeba przyjrzeć się changelogowi.