Android: ένα απλό βίντεο μπορεί να χαράξει εκατομμύρια smartphone

Phonandroid : actu Android et High-tech

Ένα απλό βίντεο μπορεί να χαράξει εκατομμύρια smartphone Android. Το πρόβλημα οφείλεται σε ένα ελάττωμα στο πλαίσιο του Android Media. Η Google προσφέρει μια ενημέρωση κώδικα από τις αρχές Ιουλίου, αλλά εκατομμύρια smartphone παραμένουν ευάλωτα. Ειδικά επειδή ένας προγραμματιστής προσφέρει κατεστραμμένα αρχεία βίντεο που δείχνουν αυτό το ελάττωμα σε δράση.

Pixabay + Phonandroid

Χαρά και κομφετί! Η οικογένεια του διανύσματα επίθεσης στο Android αυξάνεται, με βίντεο. Ναι… Ένα κρίσιμο ελάττωμα επηρεάζει τη λειτουργία τουΠλαίσιο πολυμέσων Android – το API που επιτρέπει στις εφαρμογές την αναπαραγωγή βίντεο – όταν χρησιμοποιείται με τη μορφή συμπίεσης HEVC. Αυτό το κρίσιμο ελάττωμα (CVE-2019-2107) καθιστά δυνατή την εκτέλεση αυθαίρετου κώδικα στο smartphone προορισμού.

Ένα απλό βίντεο μπορεί να εισάγει κακόβουλο κώδικα σε smartphone Android

Το μόνο που πρέπει να κάνει ο εισβολέας είναι να εξαπατήσει το θύμα του να παίξει ένα ειδικά επεξεργασμένο βίντεο μέσω του εγγενούς προγράμματος αναπαραγωγής βίντεο του Android. Μπορεί τότε με ένα φορτίο επί πληρωμή, αποκτήστε ανύψωση προνομίων και, στη συνέχεια, αποκτήστε πλήρη έλεγχο της συσκευής. Η Google γνωρίζει αυτό το ελάττωμα, το οποίο επηρεάζει όλες τις εκδόσεις του Android 7.0 και μεταγενέστερες και έχει προσφέρει ακόμη και μια ενημερωμένη έκδοση κώδικα ασφαλείας από τις αρχές του μήνα.

Αλλά εκατομμύρια επηρεαζόμενα smartphone εξακολουθούν να περιμένουν να λάβουν αυτό το έμπλαστρο – προωθούνται όπως πάντα περισσότερο ή λιγότερο γρήγορα ανάλογα με τις μάρκες. Για να επιδεινωθούν τα πράγματα, ο προγραμματιστής Android Marcin Kozlowski δημοσίευσε μια απόδειξη της ιδέας (αυτό που οι Αγγλοσαξονικοί αποκαλούν “απόδειξη της ιδέας”) στο GitHub. Προσφέρει πολλά αρχεία στον λογαριασμό του, τα οποία προκαλούν σφάλμα Android smartphone.

Καθώς και εξηγήσεις … ένας συνδυασμός πληροφοριών που θα διευκολύνουν το έργο πιθανών χάκερ που επιθυμούν να εκμεταλλευτούν αυτό το ελάττωμα για να εισάγουν αυθαίρετο κώδικα σε smartphone-στόχους. Το ιστολόγιο Οι ειδήσεις χάκερ Ωστόσο, ορίζει ότι για να λειτουργήσει η επίθεση, το αρχείο βίντεο πρέπει να ανοίξει ως έχει: υπηρεσίες ανταλλαγής μηνυμάτων όπως το WhatsApp και το Facebook Messenger συμπιέζουν συστηματικά βίντεο, τα οποία παραμορφώνουν τον κακόβουλο κώδικα τους.

Διαβάστε επίσης: Αυτό το ρωσικό λογισμικό μυστικής υπηρεσίας κρύβεται σε πλαστά APK από το Pornhub και το Google Play

Για να προστατευτείτε, υπάρχουν επομένως δύο συμβουλές: πρώτα ενημερώστε το smartphone σας μόλις είναι διαθέσιμη μια ενημερωμένη έκδοση κώδικα ασφαλείας. Ακόμα περισσότερο αν δείτε στην έκδοση σημειώσεις ότι αυτή η ενημέρωση διορθώνει το ελάττωμα CVE-2019-2107. Το άλλο είναι να μην κάνετε ποτέ, στο μεταξύ, λήψη και άνοιγμα βίντεο από άγνωστες πηγές – εκτός του WhatsApp και του Facebook Messenger.

Πηγή: The Hacker News