Stagefright, en multimedie-bibliotek i Android 2.2 og højere, har været udnyttet igen, i henhold til nyheder rapporter, der er offentliggjort i sidste uge.
Zimperium sidste år rapporterede en Stagefright udnytte, at det sagde udsat 95 procent af Android-enheder. Google indarbejdet en patch Zimperium skabt til den udnyttelse, der i sin kode repositories.
Nærmere oplysninger om den nyeste udnytte, hedder “Metafor,” der blev udgivet tidligere i denne måned i et papir fra NorthBit.
Metafor påvirker Android 2.2-4.0 og 5.0-og 5.1.
Det fungerer til omkring 30 procent af alle Android-enheder, i henhold til
Statistisk.
Det forbigår address space layout randomization, eller ASLR, som Google havde indført som en sikkerhedsforanstaltning.
“Den oprindelige Stagefright sårbarhed oplysninger viste os, at ja, der er problemer med dette bibliotek,” bemærkede Andrew Blaich, føre sikkerhed, analytiker hos
Bluebox Sikkerhed.
“Metafor bekræfter, at dette problem er real, og er ved hjælp af de offentliggjorte sårbarheder og forskning til at producere et rigtigt angreb, der påvirker Android-brugere,” fortalte han LinuxInsider.
Hvad Metafor Betyder
Metafor hovedsagelig indebærer parsing tx3g atom i MPEG-4-filer, der bruges til at integrere undertekster i medierne.
Det dybest set skaber et heap-overløb og styrer bunke størrelse — hvor meget, der skal skrives i bufferen — og data-hvad du skal skrive. Det forudsiger, hvor dens objekt vil blive tildelt ved omhyggeligt at forme den bunke.
Den består af følgende moduler:
- Crash, der genererer en lille og generic media-fil, nedbrud mediaserver til at nulstille sine stats, og kontrollerer tilstedeværelsen af den svaghed, når automatisere tests og opbygning af lookup tabeller;
- RCE, der skaber en enhed, der er tilpasset mediefil udførelse shellcode i mediaserver og modtager runtime ASLR dias som parameter og oversætter gadget forskydninger absolutte adresser;
- Lækagen, som genererer en enhed-tilpasset media-fil til at lække hukommelse fra mediaserver proces.
Men Lækagen ikke understøttet på Chrome før version 19 og virker ikke på Samsung ‘ s SBrowser, selv om NorthBit har ikke fundet ud af hvorfor.
Yderligere, Metafor kræver at angriberen har en vis forudgående viden om offerets enhed, NorthBit sagde.
Opbygning af en universel udnytte kræver oprettelse af lookup tabeller for hver ROM, og det kan stadig være nødvendigt at forøge rettigheder af mediaserver proces, som forskellige leverandører give mediaserver og dens grupper forskellige tilladelser.
Stadig, at skulle til at bygge lookup tabeller for hver ROM er en lille forhindring mod at opnå mainstream malware kapacitet, bemærkes, sagde Jason Haddix, direktør for teknisk drift på
Bugcrowd.
Hvor Mange Er i Risiko?
Nogle 235 millioner mennesker er i fare, han fortalte LinuxInsider.
Disse “er et skøn baseret på enhed salg og skal tages med et gran salt,” Haddix sagde, men “en meget stor procentdel af personer, der er omfattet af dette angreb. Med remote udnyttelse muligt, og en måde at omgå den stærkeste sikkerhed — ASLR-i dette tilfælde-det er en meget big deal.”
På den anden side, ASLR “ikke har så meget tilfældighed som de fleste folk vil gerne, som gør det til en lav forhindring for angribere at komme forbi,” Bluebox Sikkerhed er Blaich påpeget.
Android-enheder lappet i oktober eller senere, er beskyttet på grund af den lave Google udstedt, en Google-talsmand fortalte LinuxInsider i en erklæring fastsat af selskabets Aron Stein.
Der blev for første fejl — CVE-2015-3864 — og det var til at blive bearbejdet, fordi det ikke fungerer efter hensigten.
“Google fortsætter med at revision og patch Stagefright og dens tilknyttede biblioteker hver måned med deres månedlige sikkerhedsopdateringer,” Blaich påpeget. “Men langt de fleste Android-enheder forbliver uændrede disse rettelser.”
Luftfartsselskaber og fabrikanter af udstyr forsinke frigivelsen af en patch betydeligt, fordi de teste patches, før vi frigiver dem til forbrugerne.
Selv hvis Google erstatter eller eftersyn Stagefright, Haddix bemærkede, at “det er svært at tvinge enhed producenterne kraft opgraderinger til alle, men de nyeste telefoner.”
Richard Adhikari har skrevet om high-tech for branchens førende publikationer siden 1990’erne, og vidundere, hvor det hele fører til. Vil implanteret RFID-chips i mennesker være Dyrets Mærke? Vil nanotech løse vores kommende fødevarekrise? Gør Stør ‘ s Lov, der stadig holder stik? Du kan forbinde med Richard på
Google+.