Содержание
Уязвимости Android вызывают те же чувства, что и массивное нарушение данных
: общее явление, частью которого я мог бы оказаться. По крайней мере, с серьезной утечкой данных у меня есть возможность отрезать свои учетные записи и прижечь их. С последней ошибкой Android — QuadRoot — это просто не вариант.
Это в немалой степени из-за того, что уязвимость не полностью связана с Android. Нет, ваше устройство было потенциально скомпрометировано американским гигантом Qualcomm, занимающимся производством аппаратного обеспечения, и его популярностью в качестве источника мощности для бесчисленного множества устройств Android по всему миру.
Эта ошибка немного отличается от нормы. В тех случаях, когда ошибки Android обычно затрагивают одного или небольшое количество производителей, использующих определенный набор оборудования, QuadRoot, по оценкам, затронет около 900 миллионов пользователей Android по всему миру. Это ты, я и все, кого ты любил.
Давайте посмотрим, что такое QuadRoot, что он для вас значит, и что на самом деле кто-то делает для его исправления.
QuadRoot Is Big
Несколько вещей отличают QuadRoot от других ошибок Android, с которыми мы столкнулись за последние несколько лет. Начнем с того, что Check Point, исследовательская группа по безопасности, обнаружившая ошибку, объясняет, что:
«QuadRooter — это набор из четырех уязвимостей, затрагивающих устройства Android, созданные с использованием чипсетов Qualcomm. Qualcomm является ведущим в мире разработчиком чипсетов LTE с 65% -ной долей рынка модемных LTE-модемов. Если используется любая из четырех уязвимостей, злоумышленник может вызвать повышение привилегий с целью получения корневого доступа к устройству ».
Они перечисляют четыре уязвимости безопасности:
- CVE-2016-2503 обнаружен в драйвере графического процессора Qualcomm и исправлен в бюллетене Google по безопасности Android за июль 2016 года.
- CVE-2016-2504 обнаружен в драйвере графического процессора Qualcomm и исправлен в бюллетене по безопасности Android от Google за август 2016 года.
- CVE-2016-2059 найден в модуле ядра Qualcomm и исправлен в апреле, хотя состояние патча неизвестно.
- CVE-2016-5340 представлен в драйвере графического процессора Qualcomm и исправлен, но состояние патча неизвестно.
Мое устройство уязвимо?
Поскольку Qualcomm является ведущим в мире разработчиком и производителем наборов микросхем LTE (Long Term Evolution), занимающим около 65% рынка модемов LTE для основной полосы частот, существует значительная вероятность того, что ваше устройство будет выставлено. Вы можете проверить, уязвимо ли ваше устройство, используя сканер QuadRooter [Больше не доступен], разработанный и опубликованный Check Point (ребята, которые обнаружили уязвимость). У меня есть OnePlus One
:
Грустные времена для меня, действительно.
@oneplus, когда вы ожидаете выпуска патчей для серьезной уязвимости Quadroot?
— Gazing Cyber (@gazingcyber) 8 августа 2016 г.
Могу ли я подвергнуться эксплуатации?
Check Point сообщают, что относительно легко выявить устройство с любой из этих уязвимостей.
«Злоумышленник может использовать эти уязвимости с помощью вредоносного приложения. Такое приложение не требует специальных разрешений, чтобы воспользоваться этими уязвимостями, устраняя подозрения, которые могут возникнуть у пользователей при установке ».
Это не недостаток, внесенный обновлением прошивки. Уязвимость присутствовала при отправке вашего устройства. Недостаток, обнаруженный в драйверах программного обеспечения, которые управляют связью между компонентами чипсета, реально может быть исправлен только производителем устройства с помощью обновления OTA.
В отличие от прошлогодней ошибки Stagefright
QuadRoot фактически требует установки вредоносного приложения, вероятно, после включения установки приложения из «Неизвестных источников».
Кроме того, и, как указал Google в своем заявлении (которое вы можете прочитать в следующем разделе), функция Android «Проверка приложения» предназначена для защиты от этого типа уязвимости. Эта функция появилась в Android 4.2 Jelly Bean, и, учитывая, что более 90% всех Android-устройств сейчас работают с этой версией или более поздней, и что эта ошибка затрагивает только вышеупомянутый чипсет — я думаю, что все будет хорошо.
Что происходит сейчас?
Будучи профессиональной компанией по исследованию безопасности, Check Point проинформировала Qualcomm об этой уязвимости несколько месяцев назад. Как таковые, они уже выпустили патч чипсета, который был выпущен на вашем устройстве. Мяч теперь твердо лежит на их площадке.
Почти все телефоны за последние пару лет #Quadroot уязвимы по номерам! @google @GoogleIndia @ Mandy_017
— Срикант Акула (@ srikie21) 9 августа 2016 г.
Ряд популярных производителей устройств уже предприняли шаги, чтобы успокоить свою пользовательскую базу. В одном случае исправление уже выложено. Вот некоторые из основных производителей и их текущее состояние.
Google быстро перешел на защиту своих пользователей.
«Устройства Android с нашим последним уровнем исправлений безопасности уже защищены от трех из этих четырех уязвимостей. Четвертая уязвимость, CVE-2016-5340, будет устранена в следующем бюллетене по безопасности Android, хотя партнеры по Android могут быстрее принять меры, сославшись на общедоступный патч, предоставленный Qualcomm ».
Будучи основными разработчиками Android, Google также стремился осветить другие меры безопасности, уже применяемые для устройств Android.
«Наши средства проверки приложений и SafetyNet помогают идентифицировать, блокировать и удалять приложения, использующие подобные уязвимости».
Популярные устройства: Nexus 5X, Nexus 6, Nexus 6P
ежевика
Как я упоминал выше, один производитель уже выкатил исправление для пользователей. Престижность и похвалы возлагаются на стойких производителей телефонов, Blackberry.
«Три из четырех уязвимостей уже исправлены на устройствах PRIV с патчем August Marshmallow и на всех устройствах DTEK50. Кроме того, безопасная цепочка загрузки, присутствующая на всех устройствах BlackBerry, естественным образом смягчает остающуюся проблему. Нам не известны какие-либо эксплойты для этой уязвимости в дикой природе, и мы не думаем, что какие-либо клиенты в настоящее время подвержены риску этой проблемы ».
Популярное устройство: Blackberry Priv
Sony
Sony работает над тем, чтобы сделать исправления доступными для своих устройств Qualcomm.
«Sony Mobile очень серьезно относится к безопасности и конфиденциальности данных клиентов. Мы знаем об уязвимости QuadRooter и работаем над тем, чтобы сделать исправления безопасности доступными при обычном и регулярном обслуживании программного обеспечения как непосредственно на устройствах открытого рынка, так и через наших партнеров-операторов, поэтому сроки могут варьироваться в зависимости от региона и / или оператора. »
Популярное устройство: Sony Xperia Z Ultra
Motorola
Motorola — еще один производитель, способный предоставить хорошие новости.
«Недавно потенциальная уязвимость системы безопасности была обнаружена в некоторых устройствах Android. Эта потенциальная уязвимость может быть использована только в том случае, если пользователь отключает встроенную меру безопасности Android и загружает вредоносное приложение. Для получения дополнительной информации о том, как это отключить, эта ссылка полезна для потребителей ».
Популярное устройство: Moto X
HTC
HTC несколько отреагировала на вопрос QuadRoot, учитывая, что по крайней мере два их устройства подвержены риску воздействия.
«HTC очень серьезно относится к безопасности клиентов. Мы знаем об этих сообщениях и расследуем их ».
Популярные устройства: HTC 10, HTC One M9
OnePlus
OnePlus разработал планы на случай непредвиденных обстоятельств, чтобы включить обновление QuadRoot в свой следующий патч.
«Безопасность является главным приоритетом для OnePlus. Соответствующие исправления безопасности будут включены в следующие OTA (обновления по беспроводной сети) для всех устройств OnePlus ».
Samsung
Официального заявления от Samsung пока не поступало.
Популярные устройства: Galaxy S7, Galaxy S7 Edge
LG
Опять же, официального заявления от LG пока нет.
Популярные устройства: LG G5, LG G4, LG V10
Время беспокоиться?
Как и в случае большинства уязвимостей безопасности, вы должны сохранять бдительность. Эти уязвимости существуют, но если вы не загрузите приложение с соответствующим вредоносным кодом, вы вряд ли найдете ваше устройство скомпрометированным.
Магазин Google Play содержит много миллионов приложений; приложение, содержащее вредоносный код
предназначен для эксплуатации этих конкретных ошибок может быть любой из них
, Таким образом, будьте начеку. Проверьте обратную связь. Перепроверьте информацию о разработчике и издателе. Посмотрите на цифры загрузки. Рассмотрим общие мошенничества. Не загружайте смешные приложения, которые предлагают превратить ваш телефон в то, чем он не является.
Вы должны уклониться от любых потенциальных злоумышленников до того, как производитель вашего устройства выпустит исправления, чтобы довести вашу безопасность до нуля
, Однако эта последняя ошибка еще раз подчеркивает риски, присущие всей модели безопасности Android. В отличие от Apple, которая может просто разработать исправление и развернуть его для своих сотен миллионов пользователей, критические исправления безопасности для Android должны пройти через всю цепочку поставок каждого производителя, прежде чем обратиться к пользователям, для которых они предназначены.
Я люблю Android и буду продолжать его использовать, но как пользователь вы должны быть настороже.
Беспокоитесь о QuadRoot? Количество уязвимостей Android заставляет вас пересмотреть платформу? Дайте нам знать ваши мысли ниже!
