Ujawniono niebezpieczne błędy 0-day w telefonie z Androidem — załatw je lub obejść już teraz!

Ujawniono niebezpieczne błędy 0-day w telefonie z Androidem — załatw je lub obejść już teraz!

Znacznik czasu: 17 marca 2023 1:56
Węzeł źródłowy: 2016229
by Paweł Kaczor

Google właśnie ujawnił cztery fetysze krytyczne błędy dnia zerowego wpływając na szeroką gamę telefonów z Androidem, w tym niektóre z własnych modeli Pixel.

Błędy te różnią się nieco od typowych luk w Androidzie, które zwykle wpływają na system operacyjny Android (oparty na Linuksie) lub aplikacje, które są z nim dostarczane, takie jak Google Play, Wiadomości lub przeglądarka Chrome.

Cztery błędy, o których tu mówimy, to tzw luki pasma podstawowego, co oznacza, że ​​istnieją one w specjalnym oprogramowaniu sieciowym telefonu komórkowego, które działa na tak zwanym chipie pasma podstawowego telefonu.

Ściśle mówiąc, Baseband to termin używany do opisania podstawowych lub najniższych częstotliwości części pojedynczego sygnału radiowego, w przeciwieństwie do sygnału szerokopasmowego, który (bardzo luźno) składa się z wielu sygnałów pasma podstawowego dostosowanych do wielu sąsiednich zakresów częstotliwości i transmitowanych w tym samym czasie w w celu zwiększenia szybkości transmisji danych, zmniejszenia zakłóceń, szerszego współdzielenia widma częstotliwości, skomplikowania nadzoru lub wszystkich powyższych. Słowo Baseband jest również używany metaforycznie do opisania układu sprzętowego i powiązanego oprogramowania układowego, które jest używane do obsługi rzeczywistego wysyłania i odbierania sygnałów radiowych w urządzeniach, które mogą komunikować się bezprzewodowo. (Nieco mylące, słowo Baseband zazwyczaj odnosi się do podsystemu w telefonie, który obsługuje łączenie z siecią telefonii komórkowej, ale nie do układów scalonych i oprogramowania obsługującego połączenia Wi-Fi lub Bluetooth).

Modem Twojego telefonu komórkowego

Chipy pasma podstawowego zwykle działają niezależnie od „nietelefonicznych” części telefonu komórkowego.

Zasadniczo uruchamiają własny miniaturowy system operacyjny na własnym procesorze i współpracują z głównym systemem operacyjnym urządzenia, aby zapewnić łączność sieci komórkowej do wykonywania i odbierania połączeń, wysyłania i odbierania danych, roamingu w sieci i tak dalej .

Jeśli jesteś wystarczająco duży, aby korzystać z Internetu dial-up, pamiętasz, że musiałeś kupić modem (skrót od modulator-i-demodulator), który podłączyłeś do portu szeregowego z tyłu komputera lub do gniazda rozszerzeń w nim; modem łączyłby się z siecią telefoniczną, a komputer łączyłby się z modemem.

Cóż, sprzęt i oprogramowanie pasma podstawowego twojego telefonu komórkowego jest po prostu wbudowanym modemem, zwykle implementowanym jako podkomponent tak zwanego SoC telefonu, skrót od system na chipie.

(Możesz myśleć o SoC jako o rodzaju „zintegrowanego układu scalonego”, w którym oddzielne komponenty elektroniczne, które kiedyś były łączone poprzez montowanie ich blisko siebie na płycie głównej, zostały jeszcze bardziej zintegrowane przez połączenie ich w jeden układ scalony).

W rzeczywistości nadal będziesz widzieć procesory pasma podstawowego określane jako modemy pasma podstawowego, ponieważ nadal zajmują się modulacją i demodulacją wysyłania i odbierania danych do iz sieci.

Jak możesz sobie wyobrazić, oznacza to, że Twoje urządzenie mobilne jest zagrożone nie tylko przez cyberprzestępców z powodu błędów w głównym systemie operacyjnym lub jednej z aplikacji, z których korzystasz…

…ale także narażone na luki w zabezpieczeniach podsystemu pasma podstawowego.

Czasami wady pasma podstawowego pozwalają atakującemu nie tylko włamać się do samego modemu z Internetu lub sieci telefonicznej, ale także włamać się do głównego systemu operacyjnego (poruszając się na bokilub obrotowe, jak to nazywa żargon) z modemu.

Ale nawet jeśli oszuści nie mogą przedostać się przez modem i dalej do twoich aplikacji, prawie na pewno mogą wyrządzić ci ogromną ilość cyberszkod, po prostu wszczepiając złośliwe oprogramowanie do pasma podstawowego, takie jak wykrywanie lub przekierowywanie danych sieciowych, szpiegowanie twojego wiadomości tekstowych, śledzenie połączeń telefonicznych i nie tylko.

Co gorsza, nie możesz po prostu spojrzeć na numer wersji Androida lub numery wersji swoich aplikacji, aby sprawdzić, czy jesteś podatny na ataki lub załatany, ponieważ posiadany sprzęt pasma podstawowego oraz oprogramowanie układowe i łatki, których potrzebujesz, zależy od urządzenia fizycznego, a nie od systemu operacyjnego, na którym jest uruchomiony.

Nawet urządzenia, które pod wszystkimi oczywistymi względami są „takie same” – sprzedawane pod tą samą marką, przy użyciu tej samej nazwy produktu, z tym samym numerem modelu i wyglądem zewnętrznym – mogą okazać się mieć różne układy pasma podstawowego, w zależności od tego, w której fabryce je zmontowano lub na jakim rynku zostały sprzedane.

Nowe dni zerowe

Ostatnio wykryte błędy Google są opisane w następujący sposób:

[Numer błędu] CVE-2023-24033 (i trzy inne luki, którym jeszcze nie przypisano tożsamości CVE) umożliwiły zdalne wykonanie kodu z Internetu do pasma podstawowego. Testy przeprowadzone przez [Google] Project Zero potwierdzają, że te cztery luki umożliwiają atakującemu zdalne złamanie zabezpieczeń telefonu na poziomie pasma podstawowego bez interakcji użytkownika i wymagają jedynie, aby atakujący znał numer telefonu ofiary.

Wierzymy, że przy ograniczonych dodatkowych badaniach i rozwoju wykwalifikowani atakujący byliby w stanie szybko stworzyć exploit operacyjny, aby w sposób cichy i zdalny zagrozić zagrożonym urządzeniom.

Mówiąc prostym językiem, dziura w zdalnym wykonaniu kodu z Internetu do pasma podstawowego oznacza, że ​​przestępcy mogą wprowadzać złośliwe oprogramowanie lub oprogramowanie szpiegujące przez Internet do części telefonu, która wysyła i odbiera dane sieciowe…

…bez dostania się w Twoje ręce, zwabienia Cię na nieuczciwą stronę internetową, nakłaniania do zainstalowania podejrzanej aplikacji, czekania, aż klikniesz niewłaściwy przycisk w wyskakującym ostrzeżeniu, zdradzania się podejrzanym powiadomieniem lub oszukiwania ty w jakikolwiek inny sposób.

18 błędów, cztery utrzymywane w tajemnicy

W tej ostatniej partii było 18 błędów, zgłoszonych przez Google pod koniec 2022 i na początku 2023 roku.

Google twierdzi, że ujawnia ich istnienie teraz, ponieważ uzgodniony czas minął od ich ujawnienia (przedział czasowy Google to zwykle 90 dni lub blisko), ale w przypadku czterech powyższych błędów firma nie ujawnia żadnych szczegółów, zauważając, że :

Ze względu na bardzo rzadką kombinację poziomu dostępu zapewnianego przez te luki oraz szybkości, z jaką naszym zdaniem można stworzyć niezawodny exploit operacyjny, zdecydowaliśmy się zrobić wyjątek od polityki, aby opóźnić ujawnienie czterech luk, które umożliwiają połączenie internetowe z zdalne wykonanie kodu pasma podstawowego

Mówiąc prostym językiem: gdybyśmy powiedzieli ci, jak działają te błędy, znacznie ułatwilibyśmy cyberprzestępcom robienie naprawdę złych rzeczy wielu ludziom poprzez podstępne wszczepianie złośliwego oprogramowania na ich telefony.

Innymi słowy, nawet Google, które w przeszłości budziło kontrowersje z powodu odmowy przedłużenia terminów ujawnienia i otwartego publikowania kodu sprawdzającego koncepcję dla wciąż niezałatanych dni zerowych, zdecydowało się podążać za duchem swojego Projektu Zero odpowiedzialnego za procesu ujawniania, zamiast trzymać się jego litery.

Argument Google za trzymanie się litery, a nie ducha zasad ujawniania informacji, nie jest całkowicie nierozsądny. Używając nieelastycznego algorytmu do decydowania, kiedy ujawnić szczegóły niezałatanych błędów, nawet jeśli te szczegóły mogłyby zostać wykorzystane do złego, firma twierdzi, że można uniknąć skarg na faworyzowanie i subiektywizm, takich jak: „Dlaczego firma X dostała dodatkowe trzy tygodni, aby naprawić swój błąd, podczas gdy firma Y tego nie zrobiła?”

Co robić?

Problem z błędami, które są ogłaszane, ale nie w pełni ujawnione, polega na tym, że trudno jest odpowiedzieć na pytania: „Czy mnie to dotyczy? A jeśli tak, to co powinienem zrobić?”

Najwyraźniej badania Google koncentrowały się na urządzeniach, które korzystały z komponentu modemu pasma podstawowego marki Samsung Exynos, ale niekoniecznie oznacza to, że system na chipie identyfikowałby się lub oznaczał jako Exynos.

Na przykład najnowsze urządzenia Pixel firmy Google korzystają z własnego systemu Google na chipie, oznaczonego marką napinacz, ale zarówno Pixel 6, jak i Pixel 7 są podatne na te wciąż na wpół tajne błędy pasma podstawowego.

W rezultacie nie możemy podać ostatecznej listy potencjalnie zagrożonych urządzeń, ale raporty Google (podkreślenie nasze):

Na podstawie informacji z publicznych witryn internetowych, które mapują chipsety do urządzeń, produkty, których dotyczy problem, prawdopodobnie obejmują:

  • Urządzenia mobilne od Samsung, w tym w S22, M33, M13, M12, A71, A53, A33, A21s, A13, A12 i A04 seria;
  • Urządzenia mobilne od Vivo, w tym w S16, S15, S6, X70, X60 i X30 seria;
  • Połączenia pixel 6 i pixel 7 seria urządzeń od GoogleOraz
  • wszelkie pojazdy korzystające z Exynos Auto T5123 chipset.

Google twierdzi, że oprogramowanie układowe pasma podstawowego zarówno w Pixelu 6, jak i Pixelu 7 zostało załatane w ramach aktualizacji zabezpieczeń Androida z marca 2023 r., więc użytkownicy Pixela powinni upewnić się, że mają najnowsze poprawki dla swoich urządzeń.

W przypadku innych urządzeń dostarczanie aktualizacji przez różnych dostawców może zająć różny czas, dlatego w celu uzyskania szczegółowych informacji należy skontaktować się z dostawcą lub operatorem sieci komórkowej.

W międzyczasie te błędy najwyraźniej można ominąć w ustawieniach urządzenia, jeśli:

  • Wyłącz połączenia Wi-Fi.
  • Wyłącz Voice-over-LTE (VoLTE).

W Google słowa, „Wyłączenie tych ustawień usunie ryzyko wykorzystania tych luk w zabezpieczeniach”.

Jeśli nie potrzebujesz lub nie używasz tych funkcji, równie dobrze możesz je wyłączyć, dopóki nie będziesz mieć pewności, jaki układ modemu znajduje się w Twoim telefonie i czy wymaga aktualizacji.

W końcu, nawet jeśli Twoje urządzenie okaże się niewrażliwe lub już załatane, brak rzeczy, których nie potrzebujesz, nie jest wadą.

Wyróżniony obraz z Wikipedii, przez użytkownika Köf3, pod CC BY-SA 3.0 licencji.

Znak czasu:

Więcej z Nagie bezpieczeństwo