Čo potrebujete vedieť o stagefright 2.0

Posledných pár mesiacov bolo zaplnených mnohými neistotami spojenými s celým radom problémov, ktoré boli populárne s názvom Stagefright, čo bolo meno, pretože väčšina zistených problémov súvisí s libstagefright v systéme Android. Bezpečnostná spoločnosť Zimperium zverejnila to, čo volajú Stagefright 2.0, s dvoma novými problémami, ktoré sa týkajú súborov mp3 a mp4, s ktorými by sa dalo manipulovať pri vykonávaní škodlivého kódu v telefóne.

Tu je to, čo vieme doteraz a ako sa udržať v bezpečí.

Čo je Stagefright 2.0?

Podľa spoločnosti Zimperium umožňuje dvojica nedávno objavených zraniteľností útočníkovi predstaviť telefón alebo tablet s Androidom so súborom, ktorý vyzerá ako MP3 alebo MP4, takže keď si metadáta pre tento súbor prehliada operačný systém, tento súbor by sa mohol spustiť škodlivý kód. V prípade útoku Človek v strede alebo webových stránok vytvorených špeciálne na doručovanie týchto chybných súborov by sa tento kód mohol vykonať bez toho, aby o tom používateľ vedel.

Spoločnosť Zimperium tvrdí, že potvrdila vzdialené vykonanie, a upozornila ju na spoločnosť Google 15. augusta. V reakcii na to spoločnosť Google priradila CVE-2015-3876 a CVE-2015-6602 k párom nahlásených problémov a začala s opravou.

Ovplyvňuje môj telefón alebo tablet?

Tak či onak, áno. CVE-2015-6602 sa týka zraniteľnosti v libutilách a ako Zimperium vo svojom príspevku upozorňuje na objavenie tejto zraniteľnosti, ovplyvňuje to všetky telefóny a tablety s Androidom siahajúce až po Android 1.0. CVE-2015-3876 ovplyvňuje každý telefón alebo tablet s Androidom 5.0 a vyšším a teoreticky by mohol byť doručený prostredníctvom webovej stránky alebo muža pri strednom útoku.

Však.

V súčasnosti neexistujú žiadne verejné príklady tejto zraniteľnosti, ktorá by sa nikdy použila na zneužitie čohokoľvek mimo laboratórnych podmienok, a spoločnosť Zimperium neplánuje zdieľať dôkazy o zneužití konceptu, ktoré použili na preukázanie tohto problému, spoločnosti Google. Aj keď je možné, že niekto iný by mohol prísť na toto zneužitie skôr, ako Google vydá záplatu, s podrobnosťami, ktoré sú za týmto zneužívaním, sú stále súkromné, je nepravdepodobné.

Čo s tým robí spoločnosť Google?

Podľa vyjadrenia spoločnosti Google sa októbrová aktualizácia zabezpečenia zameriava na obe tieto zraniteľné miesta. Tieto záplaty sa vytvoria v AOSP a od 5. októbra sa budú distribuovať používateľom Nexus. Čitatelia s orlím okom si možno všimli Nexus 5X a Nexus 6P, na ktoré sme sa nedávno pozerali, keď už bola nainštalovaná aktualizácia 5. októbra, takže ak si predobjednáte jeden z týchto telefónov, váš hardvér príde opravený proti týmto zraniteľnostiam. Ďalšie informácie o oprave budú k dispozícii v skupine Google Security Google Group 5. októbra.

Pokiaľ ide o telefóny, ktoré nie sú telefónom Nexus, spoločnosť Google 10. septembra poskytla partnerom aktualizáciu zabezpečenia októbra a spolupracuje s výrobcami zariadení a operátormi na čo najskoršom doručení aktualizácie. Ak sa pozriete na zoznam zariadení opravených pri poslednom využití systému Stagefright, máte primeraný prehľad o tom, ktorý hardvér sa v tomto procese považuje za prioritu.

Ako zostanem v bezpečí, až kým sa náplasť nedostane na môj telefón alebo tablet?

V prípade, že niekto naozaj pobehuje s využitím systému Stagefright 2.0 a snaží sa infikovať používateľov systému Android, čo je opäť veľmi nepravdepodobné z dôvodu nedostatku verejných podrobností, má kľúč k tomu, aby ste boli v bezpečí, všetko spoločné so zameraním sa na to, kde ste. “ znova prehliadať a k čomu ste pripojení.

Ak je to možné, vyhýbajte sa verejným sieťam, vždy keď je to možné, spoliehajte sa na dvojfaktorové overenie a zostaňte čo najďalej od tienistých webových stránok. Väčšinou sú to veci zdravého rozumu pre zaistenie bezpečnosti.

Je to koniec sveta?

Ani trochu. Aj keď sú všetky zraniteľné miesta systému Stagefright skutočne vážne a je potrebné s nimi zaobchádzať ako také, fantastická je komunikácia medzi spoločnosťou Zimperium a spoločnosťou Google, aby sa tieto problémy riešili čo najrýchlejšie. Spoločnosť Zimperium správne upozornila na problémy s operačným systémom Android a spoločnosť Google pristúpila k odstráneniu problémov. V dokonalom svete by tieto zraniteľné miesta neexistovali, ale sú a rýchlo sa riešia. Vzhľadom na situáciu, v ktorej sa nachádzame, nemôžem požiadať o oveľa viac.