Razkrite nevarne 0-dnevne napake v telefonu Android – popravite jih ali jih zaobidite takoj!

Razkrite nevarne 0-dnevne napake v telefonu Android – popravite jih ali jih zaobidite takoj!

Časovni žig: 17. marec 2023 1:56
Izvorno vozlišče: 2016229
by Paul Ducklin

Google je pravkar razkril fourfecta kritičnih hrošči ničelnega dne vpliva na široko paleto telefonov Android, vključno z nekaterimi lastnimi modeli Pixel.

Te napake se nekoliko razlikujejo od vaših običajnih ranljivosti Androida, ki običajno vplivajo na operacijski sistem Android (ki temelji na Linuxu) ali aplikacije, ki so priložene, kot so Google Play, Messages ali brskalnik Chrome.

Štirje hrošči, o katerih tukaj govorimo, so znani kot ranljivosti osnovnega pasu, kar pomeni, da obstajajo v posebni vdelani programski opremi za omrežje mobilnega telefona, ki deluje na tako imenovanem čipu osnovnega pasu telefona.

Strogo rečeno, osnovni pas je izraz, ki se uporablja za opis primarnih ali najnižjefrekvenčnih delov posameznega radijskega signala, v nasprotju s širokopasovnim signalom, ki je (zelo ohlapno) sestavljen iz več signalov osnovnega pasu, prilagojenih številnim sosednjim frekvenčnim območjem in oddanih hkrati v za povečanje hitrosti prenosa podatkov, zmanjšanje motenj, širšo skupno rabo frekvenčnega spektra, zapletanje nadzora ali vse našteto. Beseda osnovni pas se uporablja tudi metaforično za opis strojnega čipa in povezane vdelane programske opreme, ki se uporablja za dejansko pošiljanje in prejemanje radijskih signalov v napravah, ki lahko komunicirajo brezžično. (Nekoliko zmedeno, beseda osnovni pas se običajno nanaša na podsistem v telefonu, ki skrbi za povezovanje z mobilnim telefonskim omrežjem, ne pa tudi za čipe in programsko opremo, ki upravlja povezave Wi-Fi ali Bluetooth.)

Modem vašega mobilnega telefona

Čipi osnovnega pasu običajno delujejo neodvisno od "netelefonskih" delov vašega mobilnega telefona.

V bistvu poganjajo lasten miniaturni operacijski sistem na lastnem procesorju in delujejo skupaj z glavnim operacijskim sistemom vaše naprave, da zagotovijo mobilno omrežno povezljivost za klicanje in sprejemanje klicev, pošiljanje in prejemanje podatkov, gostovanje v omrežju itd. .

Če ste dovolj stari, da ste uporabljali klicni internet, se boste spomnili, da ste morali kupiti modem (okrajšava za modulator-in-demodulator), ki ste ga priključili v serijska vrata na zadnji strani računalnika ali v razširitveno režo v njem; modem bi se povezal s telefonskim omrežjem, vaš računalnik pa bi se povezal z modemom.

No, strojna in programska oprema v osnovnem pasu vašega mobilnega telefona je zelo preprosto vgrajen modem, ki je običajno implementiran kot podkomponenta tega, kar je znano kot telefonski SoC, okrajšava za sistem na čipu.

(SoC si lahko predstavljate kot nekakšno "integrirano integrirano vezje", kjer so bile ločene elektronske komponente, ki so bile včasih medsebojno povezane tako, da so bile nameščene v neposredni bližini na matični plošči, še bolj integrirane tako, da so bile združene v en paket čipov.)

Pravzaprav boste še vedno videli procesorje osnovnega pasu, ki se imenujejo modemi osnovnega pasu, ker se še vedno ukvarjajo z modulacijo in demodulacijo pošiljanja in prejemanja podatkov v in iz omrežja.

Kot si lahko predstavljate, to pomeni, da vašo mobilno napravo ne ogrožajo kibernetski kriminalci samo zaradi napak v glavnem operacijskem sistemu ali eni od aplikacij, ki jih uporabljate ...

...vendar tudi ogroženi zaradi varnostnih ranljivosti v podsistemu osnovnega pasu.

Včasih napake v osnovnem pasu napadalcu omogočijo ne samo vdor v sam modem iz interneta ali telefonskega omrežja, temveč tudi v glavni operacijski sistem (premikanje bočnoali vrtenje, kot se temu reče v žargonu) iz modema.

Toda tudi če prevaranti ne morejo priti mimo modema in naprej v vaše aplikacije, vam lahko skoraj zagotovo naredijo ogromno kibernetske škode samo z vsaditvijo zlonamerne programske opreme v osnovni pas, na primer prevohanje ali preusmeritev vaših omrežnih podatkov, vohljanje po vašem besedilna sporočila, sledenje vašim telefonskim klicem in drugo.

Še huje, ne morete samo pogledati številke različice svojega Androida ali številk različic svojih aplikacij, da bi preverili, ali ste ranljivi ali popravljeni, ker strojna oprema osnovnega pasu, ki jo imate, ter strojna programska oprema in popravki, ki jih potrebujete zanjo, odvisno od vaše fizične naprave, ne od operacijskega sistema, ki ga uporabljate.

Tudi naprave, ki so v vseh očitnih pogledih "enake" – prodajajo se pod isto blagovno znamko, uporabljajo isto ime izdelka, z isto številko modela in zunanjim videzom – se lahko izkaže, da imajo različne čipe osnovnega pasu, odvisno od tega, katera tovarna jih je sestavila ali na katerem trgu so bili prodani.

Novi ničelni dnevi

Googlove nedavno odkrite napake so opisane takole:

[Številka hrošča] CVE-2023-24033 (in tri druge ranljivosti, ki jim je treba še dodeliti identitete CVE) so omogočale oddaljeno izvajanje kode med internetom in osnovnim pasom. Testi, ki jih je izvedel [Google] Project Zero, potrjujejo, da te štiri ranljivosti omogočajo napadalcu, da na daljavo ogrozi telefon na ravni osnovnega pasu brez interakcije uporabnika in zahteva le, da napadalec pozna telefonsko številko žrtve.

Z omejenimi dodatnimi raziskavami in razvojem verjamemo, da bi usposobljeni napadalci lahko hitro ustvarili operativno izkoriščanje za ogrožanje prizadetih naprav tiho in na daljavo.

Preprosto povedano, luknja za oddaljeno izvajanje kode med internetom in osnovnim pasom pomeni, da lahko kriminalci prek interneta vbrizgajo zlonamerno ali vohunsko programsko opremo v del vašega telefona, ki pošilja in sprejema omrežne podatke ...

... ne da bi se dokopali do vaše dejanske naprave, vas zvabili na lažno spletno mesto, vas prepričali, da namestite dvomljivo aplikacijo, čakali, da kliknete napačen gumb v pojavnem opozorilu, se izdali s sumljivim obvestilom ali prevarali ti na kakršen koli drug način.

18 hroščev, štirje ostanejo napol tajni

V tej zadnji seriji je bilo 18 hroščev, o katerih je Google poročal konec leta 2022 in v začetku leta 2023.

Google pravi, da zdaj razkriva njihov obstoj, ker je potekel dogovorjeni čas, odkar so bili razkriti (Googlov časovni okvir je običajno 90 dni ali blizu tega), vendar za štiri zgornje napake podjetje ne razkriva nobenih podrobnosti, pri čemer ugotavlja, da :

Zaradi zelo redke kombinacije ravni dostopa, ki jo zagotavljajo te ranljivosti, in hitrosti, s katero menimo, da je mogoče oblikovati zanesljivo operativno izkoriščanje, smo se odločili narediti izjemo pravilnika za odlog razkritja za štiri ranljivosti, ki omogočajo internet-to- osnovno pasovno oddaljeno izvajanje kode

Preprosto povedano v angleščini: če bi vam povedali, kako ti hrošči delujejo, bi kiberkriminalcem preveč olajšali, da bi začeli delati res slabe stvari številnim ljudem tako, da bi na njihove telefone prikrito vsadili zlonamerno programsko opremo.

Z drugimi besedami, celo Google, ki je v preteklosti pritegnil polemike zaradi zavračanja podaljšanja svojih rokov za razkritje in odkrite objave kode za dokaz koncepta za še nepopravljene zero-dneve, se je odločil slediti duhu svojega odgovornega Project Zero postopek razkritja, namesto da bi se držali njegovega pomena.

Googlov argument, da se na splošno drži črke in ne duha svojih pravil o razkritju, ni povsem nerazumen. Z uporabo neprilagodljivega algoritma za odločanje o tem, kdaj razkriti podrobnosti nepopravljenih hroščev, tudi če bi te podrobnosti lahko uporabili za zlo, podjetje trdi, da se je mogoče izogniti pritožbam glede favoriziranja in subjektivnosti, kot je, "Zakaj je podjetje X dobilo dodatne tri tednov, da bi odpravili svojo napako, medtem ko podjetje Y ni?«

Kaj storiti?

Težava pri hroščih, ki so napovedani, a niso v celoti razkriti, je v tem, da je težko odgovoriti na vprašanja: »Ali sem prizadet? In če je tako, kaj naj storim?«

Očitno se je Googlova raziskava osredotočila na naprave, ki so uporabljale osnovnopasovno modemsko komponento znamke Samsung Exynos, vendar to ne pomeni nujno, da bi se sistem na čipu prepoznal ali označil kot Exynos.

Na primer, Googlove nedavne naprave Pixel uporabljajo Googlov sistem na čipu z blagovno znamko tenzor, vendar sta tako Pixel 6 kot Pixel 7 ranljiva za te še vedno pol tajne napake osnovnega pasu.

Zato vam ne moremo dati dokončnega seznama morebitno prizadetih naprav, vendar Google poroča (naš poudarek):

Na podlagi informacij z javnih spletnih mest, ki preslikajo nabore čipov v naprave, prizadeti izdelki verjetno vključujejo:

  • Mobilne naprave iz Samsung, vključno s tistimi v S22, M33, M13, M12, A71, A53, A33, A21s, A13, A12 in A04 serija;
  • Mobilne naprave iz Vivo, vključno s tistimi v S16, S15, S6, X70, X60 in X30 serija;
  • O pixel 6 in pixel 7 serija naprav iz googleIn
  • vsa vozila, ki uporabljajo Exynos Auto T5123 čipov.

Google pravi, da je bila vdelana programska oprema osnovnega pasu v Pixel 6 in Pixel 7 popravljena kot del varnostnih posodobitev za Android marca 2023, zato bi morali uporabniki Pixel zagotoviti, da imajo najnovejše popravke za svoje naprave.

Pri drugih napravah lahko različni prodajalci potrebujejo različno dolgo časa za pošiljanje posodobitev, zato se za podrobnosti posvetujte s svojim prodajalcem ali ponudnikom mobilne telefonije.

Medtem se lahko tem napakam očitno izognete v nastavitvah naprave, če:

  • Izklopite Wi-Fi klice.
  • Izklopite Voice-over-LTE (VoLTE).

V Googlu besede, "izklop teh nastavitev bo odstranil tveganje izkoriščanja teh ranljivosti."

Če teh funkcij ne potrebujete ali jih uporabljate, jih lahko vseeno izklopite, dokler ne veste, kateri modemski čip je v vašem telefonu in ali ga je treba posodobiti.

Konec koncev, tudi če se izkaže, da je vaša naprava neranljiva ali je že popravljena, ni nobene slabosti, če nimate stvari, ki jih ne potrebujete.

Predstavljeni slika iz Wikipedije, po uporabniku Köf3, pod a CC BY-SA 3.0 licenco.

Časovni žig:

Več od Gola varnost