Brudna Krowa w Androidzie wciąż niezałatana, czas by Microsoft wydał exploit?
Dobrze wiemy, czego spodziewać się można po łatkachbezpieczeństwa od Microsoftu – i trzeba przyznać, ze firma zRedmond robi tu dobrą robotę, szczególnie w porównaniu doenigmatycznego i flegmatycznego Apple. A czego spodziewać się połatkach bezpieczeństwa od Google? Niestety okazuje się, żeniewiele. O problemach z dostarczaniem łatek na sprzęt z Androidemwiadomo od dawna, jednak nawet te urządzenia, które łatki dostają,nie zostają należycie zabezpieczone. W najnowszej listopadowejpaczce brakuje poprawki do najważniejszej z odkrytych ostatniopodatności w Linuksie, czyli słynnej Brudnej Krowy (DirtyCow).
10 dni Google dało Microsoftowi na załatanie luki wWindowsie – a gdy Microsoft nie zdążył, udostępniło publicznieinformacje o luce, tłumacząc, że jest wykorzystywana przezcyberprzestępców. Wobec siebie jednak Google stosuje najwyraźniejinne miarki. W zestawiełatek wydanych dla urządzeń Nexus i Pixel nie ma łatki dlaBrudnej Krowy, mimo że o tej podatności wiadomo już od 19października.
Eksperci od bezpieczeństwa łapią się za głowę, podkreślając,że jako nie jest to zwykły błąd uszkodzenia pamięci, nie mażadnych środków zaradczych, które mogłyby ochronić przeduzyskaniem przez wrogie oprogramowanie roota na urządzeniu zAndroidem. Atak z wykorzystaniem Brudnej Krowy już jest masowowykorzystywany przeciwko linuksowym serwerom (na szczęściewiększość dystrybucji zapewniła błyskawicznie łatki),opracowano też już w pełni działające exploity na Androida.
Google oczywiście może się tłumaczyć, że korzystającywyłącznie z oprogramowania dostarczanego przez Google Play sąbezpieczni, ale to słabe tłumaczenie, niejednokrotnie już wsklepie tym niezależni badacze wykrywali aplikacje ukrywające wsobie złośliwy kod. Niektóre z tych aplikacji cieszyły sięsporym powodzeniem – gierka Honey Comb została pobrana niemalmilion razy, zanim Google usunęło ją ze swojego sklepu.
Co w takim razie zostało załatane? Najpoważniejsza jest kolejnaluka w komponencie przetwarzania mediów (Mediaserver), pozwalającana zdalne uruchomienie kodu (CVE-2016-6699), jako krytyczny błądzostało też zaklasyfikowane podwyższenie uprawnień, przez błądw bibliotece libzipfile. Do tego dochodzi zestaw łatek dlasterowników – GPU, systemu plików, dźwięku i kryptografii,łącznie 12 błędów określonych jako krytyczne (z czego jedenpozwalający na zdalne uruchomienie kodu).
Z braku łatki dla Brudnej Krowy niektórzy się jednak cieszą.Pozwala ona łatwo uzyskiwać roota na urządzeniu. To za jej sprawąudało się uwolnić sprzedawane w sieci Verizon najnowsze smartfonyPixel. Niestety póki co deweloperzy nie zdecydowali się udostępnićswojego narzędzia publicznie, zapewniająjedynie, że złamanie Pixela było tak łatwe, że nie było wtym żadnej zabawy.
