V Androide extrémne zahanbujúca chyba, umožňuje získať malvéru všetky dáta bez roota

Značky: AndroidbezpečnosťGoogle

DSL.sk, 30.7.2014

V mobilnom operačnom systéme Android sa nachádza extrémne zahanbujúca bezpečnostná zraniteľnosť, ktorá umožňuje škodlivým aplikáciám získať neštandardné systémové oprávnenia a v dôsledku toho u väčšiny verzií Androidu prístup k dátam všetkých aplikácií.

V utorok na to upozornila bezpečnostná spoločnosť Bluebox Security, ktorá chybu označovanú ako Fake ID objavila.

V operačnom systéme Android sú jednotlivé aplikácie podpísané certifikátom, ktorý identifikuje tvorcu a napríklad sa využíva na potvrdenie autenticity aktualizácií. Android využíva podobne ako zabezpečené HTTPS stránky PKI infraštruktúru, kde sa certifikáty podpisujú rodičovskými certifikátmi s vytvorením reťaze až po dôveryhodné napevno zabudované koreňové certifikáty.

Podľa popisu Bluebox Security Android od verzie 2.1 ale jednoducho vôbec neoveruje korektnosť takejto reťaze certifikátov, ktorou je podpísaná daná aplikácia. Android kontroluje len zhodu mien vydávateľov certifikátov a z neznámych dôvodov vôbec neoveruje korektnosť kryptografických podpisov garantujúcich bezpečnosť reťaze certifikátov.

Tvorca aplikácie ju tak môže podpísať sebou vytvoreným certifikátom a tváriť sa, že tento bol podpísaný ľubovoľným z dôveryhodných certifikátov. Škodlivá aplikácia sa tak následne môže vydávať za aplikáciu vydanú Adobe, Googleom a podobne.

To má ale priame dopady na bezpečnosť, keď niektoré systémové oprávnenia Android prideľuje aplikáciám na základe potvrdenia identity cez ich certifikáty. Takéto špeciálne oprávnenia majú napríklad aplikácie od Adobe, ktoré pre zabezpečenie funkčnosti Flashu po Android 4.3 mohli podľa popisu Bluebox Security vkladať formou tzv. webview pluginu kód do iných aplikácií a získať prístup ku všetkým dátam ostatných aplikácií. Aplikácie tváriace sa podpisovými certifikátmi ako Google Wallet zase majú prístup ku kompletnej NFC komunikácii a aplikácia tváriace sa ako aplikácie od 3LM majú na Android zariadeniach niektorých výrobcov plnú kontrolu nad zariadením.

Chyba sa nachádza vo všetkých verziách Androidu od 2.1 po 4.4 vrátane testovacej verzie Androidu L. Efektívne je ju možné vydávaním sa za aplikáciu od Adobe zneužiť na Androide po verziu 4.3, v Android 4.4 KitKat sa zmenila implementácia webview pluginu a chybu nie je možné týmto spôsobom zneužiť. Bluebox Security ale nevylučuje, že Android udeľuje ďalšie špeciálne práva iným aplikáciám.

Chyba bola podľa popisu opravená spoločnosťou Google v apríli. Vzhľadom na potrebu zapracovať opravu jednotlivými výrobcami do ich firmvérov v súčasnosti zrejme nie je vo väčšine zariadení opravená.

Google v krátkom stanovisku pre médiá informoval, že chybu nezneužíva žiadna aplikácia prítomná v Google Play ani žiadna z aplikácií z iných zdrojov, ktoré Google preveril. Dá sa ale predpokladať, že so zverejnením informácií o chybe sa takéto pokusy objavia. Google Play a ochrana Verify Apps prítomná na Android zariadeniach boli podľa spoločnosti aktualizované a momentálne poskytujú ochranu proti tejto zraniteľnosti.

Detailné informácie o zraniteľnosti bude Bluebox Security prezentovať na hackerskej bezpečnostnej konferencii Black Hat budúci týždeň.




Najnovšie články:



Diskusia:

jooooooooj Od: hnfvevev | Pridané: 30.7.2014 9:58 No co uz s tym deravym androidom :-(clovek musi prejst na ios Odpovedať Známka: -5.9 Hodnotiť:

Re: jooooooooj Od: XMen | Pridané: 30.7.2014 10:02 Alebo na CM kde to uz pravdepodobne aj opravene je a netreba cakat na vyrobcu smartfonu. Odpovedať Známka: 6.7 Hodnotiť:

Re: jooooooooj Od: frege | Pridané: 30.7.2014 10:08 Pan je srandista? "cakat na vyrobcu smartfonu"? Je tu niekto, kto si mysli, ze vyrobca smartfonu vyda upgrade na viac ako dva telefony zo svojej aktualnej ponuky, kde ma viac ako 50 modelov a viac ako 400 modelov uz nepodporuje a nevyraba? Odpovedať Známka: 1.5 Hodnotiť:

Re: jooooooooj Od: XMen | Pridané: 30.7.2014 10:57 Vole nauc sa citat, nevsimol si si to slovicko "netreba"? Ked chces trolovat tak sa aspon nauci poriadne citat. Odpovedať Známka: 6.8 Hodnotiť:

Re: jooooooooj Od: jfkffk | Pridané: 30.7.2014 10:59 Pak vstoupi pan mudrlant Odpovedať Známka: -3.6 Hodnotiť:

Re: jooooooooj Od: karolkooooo | Pridané: 30.7.2014 18:08 kto to tu inak furt vravi, ze android je najlepsi? cize najlepsie = najderavejsie? je to hanba, ujo google Odpovedať Známka: -4.5 Hodnotiť:

Re: jooooooooj Od reg.: raketa | Pridané: 30.7.2014 16:48 Takych zahanbujucich chyb este v Androide najdu neurekom... :D Odpovedať Známka: 5.2 Hodnotiť:

Re: jooooooooj Od: frfle31415926535 | Pridané: 30.7.2014 15:19 no HTC prekvapivo opravilo Heartbleed na Desire X a ten veru nepatri do aktualnej ponuky Odpovedať Známka: 8.7 Hodnotiť:

Re: jooooooooj Od: qwertyuiop1 | Pridané: 30.7.2014 10:05 Urcite sa potesis backdooru^H diagnostike, ktoru tam Apple ma ;) Vid http://dopice.sk/a4H Odpovedať Známka: 3.8 Hodnotiť:

Re: jooooooooj Od reg.: cca01 | Pridané: 30.7.2014 10:38 Pekný protiúder, ale backdoor slúžiaci Applu je niečo iné ako full prístup pre hocikoho... :) Odpovedať Známka: -3.6 Hodnotiť:

Re: jooooooooj Od: bbbcvx | Pridané: 30.7.2014 12:19 Nenazval by som to backdoor ale skor servisny rezim rovnako ako sa ti vie pripojit operator do konfiguracie modemu alebo set-top boxu. Z vonku to zneuzitelne nie je a to je velky rozdiel Odpovedať Známka: 3.8 Hodnotiť:

Re: jooooooooj Od reg.: K-NinetyNine | Pridané: 30.7.2014 15:38 taky obhajca apple. uz ked som cital nadpis, vedel som ako tu budete riesit, ze applu by sa to nemohlo stat. a hned som si aj spomenul na trapny SSL bug od applu na ktory applisti zrejme uz zabudli. Odpovedať Známka: 6.0 Hodnotiť:

Re: jooooooooj Od: iouyt | Pridané: 30.7.2014 10:19 "No co uz s tym deravym androidom :-(clovek musi prejst na ios" Tak to si zabil! Si rovnako trapno smiesny, ako Jozko Opasok (Remen) s jeho bezprizornym obdivom vsetkeho s cervivym jablkom. (nic proti HW, ale SW?? zamysli sa!) Ked chce clovek nieco seriozne, tak siahne po alternativach, alebo po BB. Ale android, alebo ios...to je na smiech a plac v jednom. Odpovedať Známka: 0.0 Hodnotiť:

Re: jooooooooj Od: zutzuue | Pridané: 30.7.2014 12:21 to znamena seriozne? Odpovedať Známka: 6.7 Hodnotiť:

Re: jooooooooj Od: karolkok | Pridané: 30.7.2014 10:30 No co uz s tym deravym androidom :-(clovek musi prejst na wm Odpovedať Známka: -3.3 Hodnotiť:

Re: jooooooooj Od: phx | Pridané: 30.7.2014 15:34 ked uz tak WP ;) Odpovedať Známka: 5.6 Hodnotiť:

Re: jooooooooj Od: heeeeh | Pridané: 31.7.2014 14:38 WP AKO WELL PLAYED ? Odpovedať Známka: 5.0 Hodnotiť:

Re: jooooooooj Od: asdsdf | Pridané: 30.7.2014 10:34 IOS nie je na tom o nic lepsie, len ide o este viac uzavrety system, takze mozu svoje chyby lahsie skryt/ututlat. Skor to vidim vo vyuzivani internet bankingu na drobne platby, mat na ucte max. 100 eur (aj to je riziko), len horsie je to s mailami a inymi vecami ktore by mohol niekto zneuzit. Odpovedať Známka: 1.2 Hodnotiť:

Re: jooooooooj Od: asdsdf | Pridané: 30.7.2014 10:39 PS: Vyberas si este vacsie zlo ? Odpovedať Známka: 3.3 Hodnotiť:

Re: jooooooooj Od: djckkcjcdd | Pridané: 30.7.2014 10:45 Ja nevjem us :-( Odpovedať Známka: 1.1 Hodnotiť:

Re: jooooooooj Od: bvnn | Pridané: 30.7.2014 11:19 jobs je upir Odpovedať Známka: 8.0 Hodnotiť:

Re: jooooooooj Od reg.: joskoooooooooooooo | Pridané: 30.7.2014 12:23 roticia surotency? Odpovedať Známka: -4.3 Hodnotiť:

Prispievajte do diskusií ako prihlásený užívateľ Od: Riksman | Pridané: 30.7.2014 10:00 Pri vývoji Androidu spolupracoval Google spolu s NSA? :D Odpovedať Známka: 2.9 Hodnotiť:

Re: Prispievajte do diskusií ako prihlásený užívateľ Od: asdfgh | Pridané: 30.7.2014 10:24 ano a dokonca mozno aj z NASA o) Odpovedať Známka: 3.3 Hodnotiť:

Re: Prispievajte do diskusií ako prihlásený užívateľ Od: njhuy | Pridané: 30.7.2014 10:27 Mas v tom trochu chaos, skusim ti to vysvetlit. NSA zodpoveda za vyvoj, backdoory a vsetko to svinstvo okolo toho. Google ma na starosti distribuciu, balenie hovna do pozlatky a podobne marketingove tahy. Pochopene? ;-) Odpovedať Známka: 6.0 Hodnotiť:

hgfdsa Od: asdfgh | Pridané: 30.7.2014 10:21 preto pouzivam mrtvy symbian o) Odpovedať Známka: 2.9 Hodnotiť:

Re: hgfdsa Od: cdsew | Pridané: 30.7.2014 10:28 Fuuuj, nekrofil! Odpovedať Známka: 6.9 Hodnotiť:

Re: hgfdsa Od: karolkok | Pridané: 30.7.2014 10:31 Certifikát stratil platnosť :D Odpovedať Známka: 8.5 Hodnotiť:

Re: hgfdsa Od: dagi1984 | Pridané: 30.7.2014 11:06 posielam vyexpirovany certifikat Odpovedať Známka: 6.0 Hodnotiť:

Ios a cert Od: Mixer | Pridané: 30.7.2014 10:27 ios si kryptograficky overuje pravost certifikatov. Odpovedať Známka: -5.6 Hodnotiť:

Re: Ios a cert Od: jkiuy | Pridané: 30.7.2014 10:32 Pri tak deravom systeme, je to naozaj "velka ulava" len co je pravda! Odpovedať Známka: 3.3 Hodnotiť:

Re: Ios a cert Od: jhkuzu | Pridané: 30.7.2014 11:20 ak je taky deravy preco je vsetok malware pre android aj napriek tomu ze ios je najviac rozsireny v usa? :D Odpovedať Známka: -2.5 Hodnotiť:

Re: Ios a cert Od: njkhu | Pridané: 30.7.2014 13:50 Si si isty, ze vsetok je pre android? Lebo ja viem, ze to tak nie je, zdroje si dohladaj. Ach jo, ta tvoja detska naivita... Prave preto, ze je najrozsirenejsi v usa je to tak. Je jedno ci tomu veris, alebo nie, realita je ina, ako tvoje sny. Odpovedať Známka: 10.0 Hodnotiť:

Re: Ios a cert Od: Hroch_asdf | Pridané: 30.7.2014 16:15 Boli zverejnene nejake neoficialne "cenniky" za predaj exploitov v ramci operacnych systemov. MAC OS alebo iOS boli najviac cenene. Mozno preto, ze to maju manazeri, alebo preto, ze vdaka uzavrenosti sa horsie hladaju :). Kazdopadne by sa dalo z toho usudit, ze je ozaj bezpecnejsi, ale pokial to je uzatvorene, nemozno tomu verit. Odpovedať Známka: 3.3 Hodnotiť:

system Od: android | Pridané: 30.7.2014 10:31 Na chybu v androide uz prisli opravia to dalsou aktualizaciou.Co s takym ios.Tam pokoial pridu nato ze maju nieco derave tak polovica sveta ma uz zavirovany system.Uspech je nieco najst a vcas to opravit ako sa tvarit ze mam ios a teraz som naj geroj na svete. Odpovedať Známka: -2.6 Hodnotiť:

Re: system Od: kktkkt | Pridané: 30.7.2014 10:49 apple ktory vydava aktualizacie a zaplaty aj na x rokov stare telefony ty porovnavas s tou hnackou co predvadza google s androidom? ukaz mi na ktore 3 roky stare android telefony koli tomuto vyrobca vyda zaplatu. Odpovedať Známka: 2.6 Hodnotiť:

Re: system Od: mylankooo | Pridané: 30.7.2014 10:55 Ak sa pride na nejaku zranitelnost, tak Apple vacsinou vydava aktualizacie uz na druhy den :) A mas pravdu, iOS je tak deravy, ze 98% bordelu je na Androide :D Odpovedať Známka: 0.7 Hodnotiť:

Re: system Od: njhut | Pridané: 30.7.2014 11:01 Hovori z teba tazka neznalost, alebo slepa laska k jablku? Odpovedať Známka: 2.3 Hodnotiť:

Re: system Od: mylankooo | Pridané: 30.7.2014 11:15 :D Odpovedať Známka: -1.4 Hodnotiť:

Re: system Od: vxcvxy | Pridané: 30.7.2014 12:26 To su skusenosti. Mal som android aj ios a v bezpecnosti a aktualizaciach je android 5 rokov pozadu. Rovnake plati aj pre release klucovych aplikacii tzn. najprv ios, potom android - v osekanej podobe kvoli spatnej kompatibilite. Odpovedať Známka: -2.0 Hodnotiť:

Re: system Od: n,jhg | Pridané: 30.7.2014 13:55 Skusenosti su super, len skoda, ze to nema niz spolocne s bezpecnostou ako takou. ios, hoci je menej nebezpecny, stale nie je bezpecny. A o tom sa bavime, ak si si nahodou nevsimol... Viac, alebe menej nebezpecny os, stale NIE je bezpecny. Ale to je na dlhu polemiku. Niekomu staci menej nebezpecny a mysli si, ze je bezpecny. Ked ti to staci, uzivaj si. Niekomu nestaci, nepouziva ho a ani nedoporucuje. Odpovedať Známka: 10.0 Hodnotiť:

Re: system Od: Ihnk | Pridané: 31.7.2014 9:28 Samozrejme ze nič nie je 100% bezpečné. Najlepšie na tom bola asi nokia 3310. Keď chceš bezpečný smartphone tak uzavretosť ma výhody. Takze máš na vyber wp alebo ios. Ak ti záleží aj na kvalitných aplikáciách ostáva ti na vyber uz len ten ios Odpovedať Hodnotiť:

Re: system Od: qweqweq | Pridané: 31.7.2014 11:17 skor android Odpovedať Hodnotiť:

Re: system Od: ja. | Pridané: 31.7.2014 12:37 Ziadny smartphone nie je bezpecny a to bez ohladu, ci tam bezi Android, IOS, WP, BB, Tizen alebo hocico ine. Na druhom, komunikacnom, CPU, ktory ma na starosti komunikaciu so sietou, bezi proprietarny system vyrobcu chipsetu, kde bezi cely GSM/3G/LTE stack ("radio"). Tento CPU ma pristup k celej fyzickej RAM aplikacneho procesora (toho, kde bezi Android/IOS/WP/atd), takze ten sa moze aj rozhrajat, ale radio si moze robit s datami v RAM co len chce. Takze pristup do RAM + pristup do siete + uzavrety, neauditovany system + uzavrete protokoly... kto tu chce co rozpravat o bezpecnosti? Odpovedať Hodnotiť:

Re: system Od: ufizt | Pridané: 31.7.2014 14:41 V niecom mas pravdu ale prakticky je takyto pristup nerealizovatelny, nehovorim ze v buducnosti sa to nezmeni. Prave preto ze je system uzavrety, data v RAM su v podstate obsfucovane a ak by si z nich chcel vytiahnut rozumnu informaciu mas dve moznost: 1) radio firmware musi rozumiet internym strukturam v pamati, adresovanie, strankovanie, userspace/kernelspace aktualne spusteneho jadra OS a tak sa dostane k pozadovanej informacii 2) jednoducho vydumpuje cely obsah ram a posle domov. Jedno aj druhe je nonsens ale teoreticky mozne Odpovedať Hodnotiť:

Re: system Od: freakyfriday | Pridané: 1.8.2014 1:33 choď sa bavkať na tvoju filozofickú fakultu s tvojími hypotetickými domnienkami a tu neotravuj vzduch tvojím cibuľovým dychom ...je rozdiel keď je bezpečnostná chyba ktorá ti umožní vykradnúť bankový účet ako chyba ktorá ti zablokuje mobilné dáta napr. Užívaj si nokiu 3310 a ži v minulosti ;)6 rokov mám iOS žiadna chyba, žiadne zmyznuté peniaze ani nič podobné určite sú na tom tak isto aj užívatelia androidu ale sú aj dementi čo stahujú neoverené aplikácie a potom to takto dopadne ;) Odpovedať Hodnotiť:

Re: system Od: freakyfriday | Pridané: 1.8.2014 1:36 najväčší antivirus je user pokiaľ navštevuješ pofidérne stránky atď vystavuješ sa zbytočne riziku ktoré je hypoteticky väčšie na androide tam je ten rozdiel ;) Odpovedať Hodnotiť:

Re: system Od: ASD_ | Pridané: 30.7.2014 12:47 Rychlo opravit? Verzia 2.1 vysla pred rokmi. No a dalsia vec je, ze na to aj tak vacsina vyrobcov HW hodi bobek, lebo zmluvy su postavene tak, ze mozu. Odpovedať Hodnotiť:

Re: system Od: freakyfriday | Pridané: 1.8.2014 1:29 demence na n-tú ...android zariadenia majú podporu max rok výnimkou sú nexus zariadenia ale žeby google mal promptné reakcie tak to ani náhodou ...raz bolo niečo zverejnené a trvalo im to mesiace ...android má navyše custom romky pre operátorov takže jedna vec je že uvolní opravný fw pre stock zariadenia ale či sa tak stane aj pri dotovaných zariadeniach ktorých je drvivá vačšina? prečo iOS nedovoluje zásahy do systému? je to 100x lepšie prečo ešte aj na staručičkom iP4 beží iOS 7.1.2 bože takýchto analfabetov zbožňujem ....kupuj si tie braky v domienke že si v bezpečí aj nadalej peace ;) Odpovedať Hodnotiť:

noToTo Od: Patrik.S | Pridané: 30.7.2014 10:38 Treba prejsť na WP 8.1 Odpovedať Známka: 0.0 Hodnotiť:

Re: noToTo Od: jxjcjcjfjfjf | Pridané: 30.7.2014 10:47 Treba prejst na kamen v dnesnej dobe Odpovedať Známka: 6.7 Hodnotiť:

Re: noToTo Od: dagi1984 | Pridané: 30.7.2014 11:07 pizzovy kamen :) Odpovedať Známka: -10.0 Hodnotiť:

bez roota Od: ezio | Pridané: 30.7.2014 11:18 Veru, bez toho roota sa ťažko žije. Odpovedať Známka: 5.0 Hodnotiť:

nnnnnnn Od: noToT3 | Pridané: 30.7.2014 11:42 Nokia 3310 a neni žiadny problem :D Odpovedať Známka: 10.0 Hodnotiť:

solululoutoin Od reg.: joskoooooooooooooo | Pridané: 30.7.2014 12:20 Solution iOS made by Steve Jobs Odpovedať Známka: -5.0 Hodnotiť:

thetitle Od: android | Pridané: 30.7.2014 12:55 Pripadny utocnik si kludne moze precitat moj telefonny zoznam a tych par sprav ktore pouzivam uplne minimalne .... Nic viac sa z mojho telefonu nedozvie .... Odpovedať Známka: -6.0 Hodnotiť:

Re: thetitle Od: Boh1 | Pridané: 30.7.2014 16:27 A ako by sa ti páčilo, keby útočník na tvojom telefóne nastavil budík na každých 5 minút? Prípadne nastavil automatické vypnutie a zapnutie tel. v náhodných intervaloch? Viem, treba na to, aby si stiahol jeho aplikáciu, ale keďže je tento OS (rozumej osratý systém) taký deravý, určite nájde niekto spôsob ako ti do mobilu nainštalovať apku po navštívení nejakej web stránky. Odpovedať Známka: 3.3 Hodnotiť:

Re: thetitle Od: android | Pridané: 30.7.2014 17:15 Ano ... urcite vynalozi nemalu snahu pisanim aplikacie ktora vyuzije tu bezpecnostnu dieru a aj jej sirenim. A to vsetko len kvoli tomu aby mohol na infikovanych telefonoch nastavovat budik. Odpovedať Známka: 5.0 Hodnotiť:

Re: thetitle Od: Philll | Pridané: 30.7.2014 17:19 To su cisto detske hracky... Mna by skor zaujimalo, ako by sa zatvaril, keby mu utocnik potajomky volal cely mesiac na svoje spriatelene audiotextove cisla a potom by mu prisla faktura od operatora, alebo keby si odchytil jeho prihlasovacie udaje do IB ci verifikacne SMS a potom trochu poupratoval na jeho ucte. Odpovedať Známka: 10.0 Hodnotiť:

Re: thetitle Od: avsf | Pridané: 31.7.2014 2:21 faktura nepride ked mam kredit...ale nech skusi, daleko by sa nedostal pri zostatoku 1.45€ :) Odpovedať Známka: 6.0 Hodnotiť:

Re: thetitle Od: Ghhzng | Pridané: 31.7.2014 9:32 To su taký mudlanti co nič nemajú takze nemajú o co prísť ani co skrývať. Cieľová skupina Googlu, farmy, paneláku a sociálnej politiky žiaľ 80% populácie. Kde by ale bez nich boli zvyšných 20 všakže ... Odpovedať Známka: 10.0 Hodnotiť:

Re: thetitle Od: 3453453 | Pridané: 31.7.2014 11:19 praveze to je cielova skupina apple. Nech si pozicaju hlavne ze si kupa iphone Odpovedať Známka: 3.3 Hodnotiť:

Re: thetitle Od: Bgbzh | Pridané: 31.7.2014 12:34 Aha hlavne ze iphone vlastnia všetci vo vrcholovom manažmente a každý ho považuje za prémiový produkt. Máš to domotane :) Odpovedať Známka: -5.0 Hodnotiť:

xxxxx Od reg.: Harris1 | Pridané: 31.7.2014 9:52 Android je humus ifo kanal pre NSA a dier ma ako syr . Mozno by si niektory ludia kupili Samsung ale s tym humusom??? Odpovedať Známka: -5.0 Hodnotiť:

Re: xxxxx Od: hells bells | Pridané: 31.7.2014 22:22 lol, je to linux, co si cakal? Odpovedať Známka: 5.0 Hodnotiť:

Pridať komentár