Oprogramowanie Samsunga Galaxy pod lupą hakerów Google'a – jest nie za ciekawie

Niedawno członkowie Project Zero wymyślili sobie zawody watakowaniu popularnego flagowca Samsunga, na które składały siętrzy konkurencje. Pierwsza to uzyskanie zdalnego dostępu dokontaktów, fotografii i wiadomości – im mniej to wymagałointerakcji z użytkownikiem, tym lepiej. Druga to uzyskanie dostępudo kontaktów, zdjęć, danych geolokalizacyjnych itp. z aplikacjizainstalowanej ze sklepu Play bez szczególnych uprawnień. Trzeciato przygotowanie kodu zdolnego przetrwać czyszczenie urządzenia, zwykorzystaniem dostępu uzyskanego w pierwszej i drugiej konkurencji.

W szranki stanęły zespoły z Północnej Ameryki i Europy, popięciu hakerów w każdym. Wystarczył tydzień, by w ramach tejzabawy znaleziono luki w oprogramowaniu stworzonym przez Samsunga,pozwalających na przeprowadzenie wspomnianych ataków.Najpoważniejszy z nich to błąd w usłudze WifiHs20UtilityService(CVE-2015-7888), poszukującej pobranego pliku zip, a następnie gorozpakowującej… przy niewielkiej pomocy do dowolnego miejsca,także w partycji systemowej.

Inny ciekawy i łatwy w wykorzystaniu błąd (CVE-2015-7889)znalazł się w kliencie poczty Samsunga, związany z brakiemuwierzytelnienia w jednym z uchwytów intencji. Pozwala onnieuprzywilejowanej aplikacji wysłać serię intencji, którespowodują, że klient poczty przekieruje pocztę użytkownika nainne konto. Inna luka w kliencie poczty (CVE-2015-7893) pozwalała zkolei na zdalne uruchamianie kodu JavaScriptu osadzonego w e-mailu.

Znaleziono też całkiem ciekawe błędy w sterownikach,pozwalające procesom obsługującym media na przepełnienie bufora ibłędy w parsowaniu obrazków w Galerii i usługach skanowaniakatalogów. Łącznie aż 11 błędów, z których kilka było, jakto określono, trywialnych do odkrycia i wyexploitowania. Jedynąpociechą był używany przez Androida SELinux, który utrudniałpraktyczny atak, ale nie ma co się za bardzo cieszyć, skoro trzyspośród odkrytych błędów pozwalały na wyłączenie tegomechanizmu zabezpieczeń jądra.

Błędy zaraz po odkryciu zostały zgłoszone do Samsunga. Osiem znich zostało naprawionych w ramach październikowych aktualizacji,pozostałe trzy, stanowiące mniejsze zagrożenie zostaną usuniętew listopadzie. Członkowie Google Project Zero chwalą producenta zato, że najpoważniejsze luki załatał w rozsądnym czasie,dostarczając szybko aktualizację – ale powiedzmy sobie szczerze,ile jeszcze takich nieodkrytych usterek może tkwić w oprogramowaniuSamsunga? Warto pamiętać, że luki w smartfonach z serii Galaxynależą do najcenniejszych na czarnym rynku, to w końcunajpopularniejsza marka urządzeń z Androidem, więc nie ma coliczyć na to, że a nuż czarne kapelusze się nimi niezainteresują.