Android z poważną luką. Była używana do ataków, ale nie wiadomo przez kogo

W systemie Android znaleziona została kolejna luka bezpieczeństwa. Nie byłoby to zaskakujące, gdyby nie fakt, że ktoś już z niej korzystał. Prawdopodobnie jest to firma NSO Group z Izraela – producent wirusów dla agencji rządowych i wywiadu.

Lukę oznaczoną jako CVE-2019-2215 odkryła i ujawniła Maddie Stone, analityk bezpieczeństwa z zespołu Google Project Zero. Stone zaprezentowała szczegóły techniczne i przykładową szkodliwą aplikację.

Wada znajduje się jądrze Androida – podstawowej części, odpowiedzialnej za działanie systemu. Maddie Stone znalazła lukę w konkretnej wersji sterownika Binder, który odpowiada za komunikację między procesami. Dzięki tej informacji zostały zidentyfikowane podatne smartfony:

• Google Pixel 1, 1XL, 2 i 2XL z Androidem 9 i betą Androida 10
• Huawei P20
• Xiaomi Redmi 5A
• Xiaomi Redmi Note 5
• Xiaomi A1
• Oppo A3
• Moto Z3
• smartfony LG z Androidem 8 Oreo
• Samsung Galaxy S7, S8 i S9

Możliwe, że ta lista jest dłuższa.

Atak zaczyna się od aplikacji z wirusem. Luka umożliwia wykonanie zabiegu znanego jako use-after-free. To nadpisanie pamięci operacyjnej, zwolnionej przez aplikację, własnymi danymi. Jeśli zarządzanie pamięcią jest wadliwe, w ten sposób można wykonać szkodliwy kod, zdobyć wyższe uprawnienia w systemie, a następnie zainstalować własną aplikację wykradającą dane.

Ta sama podatność istniała w jądrze Linuxa, z którego Android korzysta, ale została tam załatana w grudniu 2017 roku (wersja 4.14 LTS).

Android udostępniany przez Google producentom smartfonów dostanie poprawkę w październikowym biuletynie bezpieczeństwa. Choć partnerzy Google'a zostali powiadomieni o poważnej luce, są marne szanse, by wszystkie urządzenia dostały poprawkę w najbliższych dniach. W najlepszej sytuacji są właściciele Pixeli. Poprawka znajduje się już w kodzie Android Open Source Project – otwartej wersji systemu, z której korzystają niektórzy mniej znani producenci.

Luka została zgłoszona zespołowi odpowiedzialnemu za bezpieczeństwo Androida tydzień przed ujawnieniem. To standardowa procedura jednostki Google Project Zero w przypadku aktywnie wykorzystywanych podatności.

Szerokie grono użytkowników raczej nie ma się czym martwić. Aktywne ataki były wymierzone w konkretne cele. Maddie Stone domyśla się, gdzie szukać winnych. Sporo danych wskazuje na firmę NSO Group z Izraela. To producent szkodliwych programów na potrzeby rządów i agencji wywiadowczych, w tym niesławnego Pegasusa. Przedstawiciele NSO Group zaprzeczają.

Mimo wszystko zalecamy ostrożność przy instalowaniu nowych aplikacji.