Dane milionów użytkowników popularnej dystrybucji Androida możliwe do przejęcia przez hakerów

Dane milionów użytkowników popularnej dystrybucji Androida możliwe do przejęcia przez hakerów

Dane milionów użytkowników popularnej dystrybucji Androida możliwe do przejęcia przez hakerów
Tomek Kondrat
16.10.2014 10:20

Bezpieczeństwo mobilnych systemów operacyjnych to temat wciąż bardzo często omawiany. Raz na jakiś czas wychodzi na jaw informacja o odnalezionej luce, która pozwala na podsłuchiwanie komunikacji urządzenia. Tym razem mówimy o czymś naprawdę poważnym. Ponad 10 milionów użytkowników dystrybucji Androida CyanogenMod jest narażona na atak typu MitM (man-in-the-middle). Zagrożeni są również użytkownicy innych custom ROM-ów korzystających z repozytoriów CM-a.

Wykorzystująca luki w zabezpieczeniach Javy metoda ataku została odkryta przez anonimowego pracownika jednego z wiodących producentów urządzeń z Androidem. Według badacza zarówno CyanogenMod, jak i inne zespoły custom ROM-ów użyły wadliwej próbki kodu Oracle dla Javy 1.5, która analizuje certyfikat celem uzyskania nazwy hostów. Haker wykorzystujący tę lukę może użyć przeglądarki internetowej zainstalowanej na urządzeniu do wykradzenia ważnych danych, np. numerów kart kredytowych itp. O sprawie poinformował brytyjski portal The Register.

Obraz

Luka w kodzie CyanogenModa została odnaleziona w tym roku, jednak o samym zagrożeniu wiadomo już od dwóch lat. Dotyczy ono bibliotek Apache HTTP, które nie zawierają weryfikacji SSL nazw hostów. Użycie wartości „value.cn=nazwa.domeny” w jednym z pól certyfikacji zostanie zinterpretowane jako poprawna nazwa domeny.

Kierownictwo firmy Cyanogen Inc. zostało poinformowane o luce i pracuje nad jej wyeliminowaniem. Należy jednak nadmienić, iż skontaktowanie się z osobami decyzyjnymi zajęło wspomnianemu badaczowi jakiś czas, gdyż opiekunowie repozytoriów nie zainterweniowali na zgłoszenia o zagrożeniu. Jednym z zarzutów, z którym boryka się CyanogenMod, jest zbytnia autorytarność kierownictwa firmy. Osoby decyzyjne w dość osobliwy sposób podchodzą do zaakceptowanie niektórych propozycji zgłaszanych przez deweloperów rozwijających projekt w ramach wolnego oprogramowania.

CyanogenMod ustosunkował się do artykułu The Register w oświadczeniu na swoim blogu. Według kierownictwa luka nie dotyka tylko i wyłącznie CyanogenModa, ale Androida 4.3 i starszego. Firma zapewnia, że traktuje wszystkie raporty dotyczące bezpieczeństwa bardzo poważnie i natychmiast reaguje, aby załatać luki. Pomimo zdementowania informacji podanych przez The Register, należy dmuchać na zimne i pobrać najnowsze nightly ze stron CM-a, AOKP lub innych dystrybucji dzielących kod z CyanogenModem.

Programy

Zobacz więcej
Źródło artykułu:www.dobreprogramy.pl
Oceń jakość naszego artykułuTwoja opinia pozwala nam tworzyć lepsze treści.
Wybrane dla Ciebie
Komentarze (36)