Google pokazuje exploita na… Androida. Zdalne wykonanie kodu przez e-mail, MMS, …

Tym razem mamy podatność w libutils (poziom ryzyka Critical), co oznacza zdalne wykonanie kodu w OS na potencjalnie wiele różnych sposobów (dostarczenie przez e-mail, MMS, itd). Jest też gotowy exploit, podobno dość sprawnie działający:

The provided exploit performs this on several recent Android versions for the Nexus 5x; and is both reliable and fast in my testing.

Błąd jest związany z konwersją różnych formatów UTF i został opisany szczegółowo w ramach Googleprojectzero (Return to libstagefright: exploiting libutils on Android) i skwitowany przez Marka Branda, tak:

It’s an extremely serious bug, since the vulnerable code path is accessible from many different attack vectors, and it can be leveraged both for remote code execution and for local privilege elevation into the highly privileged system_server selinux domain.

Podatność została załatana (również przejęła się tematem firma Blackberry), ale ile osób zaaplikuje łatkę?

My oddajemy swój głos na Androida, w konkursie na system operacyjny z zainstalowaną globalnie najmniejszą ilością poprawek bezpieczeństwa…

–ms