Farlige 0-dagers feil på Android-telefoner avslørt – oppdatering eller omgå dem nå!

Farlige 0-dagers feil på Android-telefoner avslørt – oppdatering eller omgå dem nå!

Tidsstempel: 17. mars 2023 1:56
Kilde node: 2016229
by Paul Ducklin

Google har nettopp avslørt en firefekta av kritiske feil på null dager påvirker et bredt spekter av Android-telefoner, inkludert noen av deres egne Pixel-modeller.

Disse feilene er litt forskjellige fra dine vanlige Android-sårbarheter, som vanligvis påvirker Android-operativsystemet (som er Linux-basert) eller applikasjonene som følger med det, for eksempel Google Play, Messages eller Chrome-nettleseren.

De fire feilene vi snakker om her er kjent som baseband-sårbarheter, noe som betyr at de finnes i den spesielle fastvaren for mobiltelefonnettverk som kjører på telefonens såkalte baseband-brikke.

Strengt talt, band er et begrep som brukes for å beskrive de primære, eller laveste frekvensdelene av et individuelt radiosignal, i motsetning til et bredbåndssignal, som (svært løst) består av flere basebåndsignaler justert til flere tilstøtende frekvensområder og sendt samtidig i for å øke datahastigheter, redusere interferens, dele frekvensspekteret bredere, komplisere overvåking eller alt det ovennevnte. Ordet band brukes også metaforisk for å beskrive maskinvarebrikken og den tilhørende fastvaren som brukes til å håndtere selve sending og mottak av radiosignaler i enheter som kan kommunisere trådløst. (Noe forvirrende, ordet band refererer vanligvis til undersystemet i en telefon som håndterer tilkobling til mobiltelefonnettverket, men ikke til brikkene og programvaren som håndterer Wi-Fi- eller Bluetooth-tilkoblinger.)

Mobiltelefonens modem

Baseband-brikker fungerer vanligvis uavhengig av "ikke-telefon"-delene på mobiltelefonen din.

De kjører i hovedsak et eget miniatyroperativsystem, på en egen prosessor, og jobber sammen med enhetens hovedoperativsystem for å gi mobilnettverkstilkobling for å ringe og svare på anrop, sende og motta data, roaming på nettverket og så videre .

Hvis du er gammel nok til å ha brukt oppringt internett, vil du huske at du måtte kjøpe et modem (forkortelse for modulator-og-demodulator), som du koblet til enten en seriell port på baksiden av PC-en eller i et utvidelsesspor inne i den; modemet kobles til telefonnettverket, og PC-en din vil koble seg til modemet.

Vel, mobiltelefonens basebånd-maskinvare og programvare er ganske enkelt et innebygd modem, vanligvis implementert som en underkomponent av det som er kjent som telefonens SoC, forkortelse for system-på-brikke.

(Du kan tenke på en SoC som en slags "integrert integrert krets", der separate elektroniske komponenter som pleide å være sammenkoblet ved å montere dem i umiddelbar nærhet på et hovedkort, har blitt integrert ytterligere ved å kombinere dem til en enkelt brikkepakke.)

Faktisk vil du fortsatt se basebåndprosessorer referert til som basebånd modemer, fordi de fortsatt håndterer virksomheten med å modulere og demodulere sending og mottak av data til og fra nettverket.

Som du kan forestille deg, betyr dette at mobilenheten din ikke bare er utsatt for nettkriminelle via feil i hovedoperativsystemet eller en av appene du bruker...

…men også i fare for sikkerhetssårbarheter i basebånd-delsystemet.

Noen ganger lar basebåndfeil en angriper ikke bare bryte seg inn i selve modemet fra internett eller telefonnettverket, men også å bryte seg inn i hovedoperativsystemet (beveger seg sideveiseller sving, som sjargongen kaller det) fra modemet.

Men selv om skurkene ikke kan komme forbi modemet og videre inn i appene dine, kan de nesten helt sikkert gjøre deg en enorm mengde cyberskader bare ved å implantere skadevare i basebåndet, for eksempel å snuse ut eller viderekoble nettverksdataene dine, snoke på tekstmeldinger, sporing av telefonsamtaler og mer.

Enda verre, du kan ikke bare se på Android-versjonsnummeret eller versjonsnumrene til appene dine for å sjekke om du er sårbar eller lappet, fordi baseband-maskinvaren du har, og fastvaren og oppdateringene du trenger for det, avhenger av din fysiske enhet, ikke av operativsystemet du kjører på den.

Selv enheter som i alle åpenbare henseender er "det samme" - solgt under samme merke, med samme produktnavn, med samme modellnummer og utseende - kan vise seg å ha forskjellige basebåndbrikker, avhengig av hvilken fabrikk som monterte dem eller hvilket marked de ble solgt til.

De nye nulldagene

Googles nylig oppdagede feil beskrives som følger:

[Feilnummer] CVE-2023-24033 (og tre andre sårbarheter som ennå ikke har blitt tildelt CVE-identiteter) tillatt for ekstern kjøring av internett-til-basebånd. Tester utført av [Google] Project Zero bekrefter at disse fire sårbarhetene tillater en angriper å eksternt kompromittere en telefon på basebåndnivå uten brukerinteraksjon, og krever bare at angriperen kjenner offerets telefonnummer.

Med begrenset ytterligere forskning og utvikling, tror vi at dyktige angripere raskt vil være i stand til å lage en operasjonell utnyttelse for å kompromittere berørte enheter stille og eksternt.

På vanlig engelsk betyr et hull for ekstern kjøring av internett-til-basebånd at kriminelle kan injisere skadelig programvare eller spyware over internett i den delen av telefonen din som sender og mottar nettverksdata...

...uten å få tak i den faktiske enheten din, lokke deg til et useriøst nettsted, overtale deg til å installere en tvilsom app, vente på at du skal klikke på feil knapp i en popup-advarsel, gi seg selv bort med et mistenkelig varsel eller lure deg på noen annen måte.

18 feil, fire holdt halvhemmelige

Det var 18 feil i denne siste batchen, rapportert av Google sent i 2022 og tidlig i 2023.

Google sier at de avslører deres eksistens nå fordi den avtalte tiden har gått siden de ble offentliggjort (Googles tidsramme er vanligvis 90 dager, eller nær det), men for de fire feilene ovenfor avslører ikke selskapet noen detaljer, og bemerker at :

På grunn av en svært sjelden kombinasjon av tilgangsnivå disse sårbarhetene gir og hastigheten som vi tror en pålitelig driftsutnyttelse kan lages med, har vi besluttet å gjøre et policy-unntak for å utsette avsløringen for de fire sårbarhetene som gjør det mulig for internett-til- ekstern kjøring av basebåndkode

På vanlig engelsk: Hvis vi skulle fortelle deg hvordan disse feilene fungerte, ville vi gjort det altfor enkelt for nettkriminelle å begynne å gjøre virkelig dårlige ting mot mange mennesker ved å snikelig implantere skadevare på telefonene deres.

Med andre ord, til og med Google, som har tiltrukket seg kontrovers tidligere for å nekte å forlenge fristene for offentliggjøring og for åpent å publisere proof-of-concept-kode for fortsatt uoppdaterte zero-days, har bestemt seg for å følge ånden i Project Zero-ansvarlig. avsløringsprosessen, i stedet for å holde seg til bokstaven.

Googles argument for generelt å holde seg til bokstaven og ikke ånden i avsløringsreglene er ikke helt urimelig. Ved å bruke en ufleksibel algoritme for å bestemme når de skal avsløre detaljer om uopprettede feil, selv om disse detaljene kan brukes til ondskap, argumenterer selskapet for at klager på favorisering og subjektivitet kan unngås, for eksempel, "Hvorfor fikk selskapet X en ekstra tre uker på å fikse feilen deres, mens selskap Y ikke gjorde det?»

Hva gjør jeg?

Problemet med feil som er annonsert, men som ikke avsløres fullt ut, er at det er vanskelig å svare på spørsmålene «Er jeg berørt? Og i så fall, hva skal jeg gjøre?"

Tilsynelatende fokuserte Googles forskning på enheter som brukte en Samsung Exynos-merket baseband-modemkomponent, men det betyr ikke nødvendigvis at systemet-på-brikken vil identifisere eller merke seg selv som en Exynos.

For eksempel bruker Googles nyere Pixel-enheter Googles eget system-på-brikke, merket tensor, men både Pixel 6 og Pixel 7 er sårbare for disse fortsatt halvhemmelige baseband-feilene.

Som et resultat kan vi ikke gi deg en endelig liste over potensielt berørte enheter, men Google rapporterer (vår vektlegging):

Basert på informasjon fra offentlige nettsteder som kartlegger brikkesett til enheter, inkluderer berørte produkter sannsynligvis:

  • Mobile enheter fra Samsung, inkludert de i S22, M33, M13, M12, A71, A53, A33, A21s, A13, A12 og A04 serie;
  • Mobile enheter fra Vivo, inkludert de i S16, S15, S6, X70, X60 og X30 serie;
  • De pixel 6 og pixel 7 serie enheter fra Google, Og
  • alle kjøretøy som bruker Exynos Auto T5123 brikkesett.

Google sier at basebåndfastvaren i både Pixel 6 og Pixel 7 ble lappet som en del av Android-sikkerhetsoppdateringene fra mars 2023, så Pixel-brukere bør sørge for at de har de nyeste oppdateringene for enhetene sine.

For andre enheter kan det ta ulik tid for forskjellige leverandører å sende oppdateringene sine, så sjekk med leverandøren eller mobilleverandøren din for detaljer.

I mellomtiden kan disse feilene tilsynelatende omgås i enhetsinnstillingene dine, hvis du:

  • Slå av Wi-Fi-anrop.
  • Slå av Voice-over-LTE (VoLTE).

I Googles ord, "Å slå av disse innstillingene vil fjerne utnyttelsesrisikoen for disse sårbarhetene."

Hvis du ikke trenger eller bruker disse funksjonene, kan du like godt slå dem av uansett til du vet sikkert hvilken modembrikke som er i telefonen din og om den trenger en oppdatering.

Tross alt, selv om enheten din viser seg å være usårbar eller allerede lappet, er det ingen ulempe å ikke ha ting du ikke trenger.

Utvalgt bilde fra Wikipedia, etter bruker Köf3, under en CC BY-SA 3.0 tillatelse.

Tidstempel:

Mer fra Naken sikkerhet