Kolejna dziura w Androidzie: podmienia oryginalne aplikacje na szkodliwe

Tym razem za odkrycie są odpowiedzialni naukowcy z firmy IBM. Luka jest uznawana za krytyczną, umożliwia bowiem zupełnie nieautoryzowane zdobycie przez szkodliwą aplikację ogromnych uprawnień i przejęcie kontroli nad urządzeniem. Całość nie posiada jeszcze żadnej „pieszczotliwej” i chwytliwej nazwy, została oznaczona numerem CVE-2015-3825 i jest związana z mechanizmem deserializacji wykorzystywanym w Androidzie. Na atak narażeni są posiadacze urządzeń z Androidem 4.3 i nowszymi, także pierwszego wydania Androida M.

Wykorzystując podatność znajdującą się w klasie OpenSSLX509Certificate, atakujący może zastąpić w zasadzie dowolną aplikację na urządzeniu docelowym – jego szkodliwa aplikacja nie musi posiadać żadnych dodatkowych uprawnień, nie będzie więc budziła wątpliwości podczas instalowania przez użytkownika. Skutki jej działania są natomiast poważne: po nieautoryzowanym podniesieniu uprawnień może zamieniać oryginalne programy na inne (np. Facebooka, aby wykraść nasze dane logowania), a dodatkowo zmienia politykę SELinux i obchodzi ten mechanizm zabezpieczający. Co gorsza, naukowcy poinformowali, że w przypadku niektórych urządzeń możliwe jest nawet wykonanie kodu w trybie jądra. Nie jest to zagrożenie tak poważne, jak luka Stagefright, która kompletnie obnażyła system aktualizacji Androida – w tym przypadku użytkownik musi zainstalować i uruchomić złośliwą aplikację, aby doszło do ataku.

Problem polega na tym, że z dużym prawdopodobieństwem taki twór da się umieścić w sklepie Google Play bez wykrycia ze strony mechanizmów ochronnych korporacji. Badacze z IBM przygotowali krótki film prezentujący udany atak na przykładzie Nexusa 5, opublikowali także raport, w którym szczegółowo opisują zagadnienia związane z tą podatnością. Informacje o luce trafiły do Google i firma przygotowała poprawkę, ale czy ta dotrze do użytkowników… w przypadku większości urządzeń, które nie są w żaden sposób wspierane, jest to w zasadzie niemożliwe.