Što trebaš znati
- Istraživač sigurnosti sa Sveučilišta Northwestern otkrio je novu ranjivost nultog dana.
- Ranjivost ima za cilj utjecati na dio jezgre Android uređaja.
- Napadaču može omogućiti proizvoljan pristup čitanju i pisanju uređaja poput modela Pixel 6/6 Pro i Galaxy S22.
Google je uvijek u stalnom procesu osiguravanja Androida ugradnjom sigurnosnih značajki vodećih u industriji kako bi ekosustav bio siguran. To je jedan od primarnih razloga zašto Android uređaji često dobivaju sigurnosne zakrpe. Google Play zaštita jedna je od takvih mjera za održavanje najbolji Android pametni telefoni od preuzimanja štetnih aplikacija.
Unatoč svim takvim mjerama koje poduzima Google, u Androidu ili računalnim sustavima širom svijeta vidimo razne vrste ranjivosti. Nova ranjivost (via XDA programeri) otkrio je Zhenpeng Lin, dr.sc. student na Sveučilištu Northwestern koji se fokusira na sigurnost kernela.
Prema Linu, to je zero-day ranjivost u kernelu koja bi mogla uništiti Google Pixel 6, sugerirao je u svom tweetu prošlog tjedna. Nadalje ukazuje da bi se to moglo izvesti i na
Pixel 6 Pro. Ne samo Pixel uređaji, već i bilo koji Android uređaj temeljen na kernelu v5.10 može biti pogođen, uključujući uređaje iz novijeg Samsunga Galaxy S22 niz.Najnoviji Google Pixel 6 isporučen s 0 dana u kernelu! Ostvareno proizvoljno čitanje/pisanje za eskalaciju privilegija i onemogućavanje SELinuxa bez otmice tijeka kontrole. Bug također utječe na Pixel 6 Pro, ostali Pixeli nisu zahvaćeni :) pic.twitter.com/UsOI3ZbN3L5. srpnja 2022
Vidi više
U svom tweetu Lin je također implicirao da s najnovijom ranjivošću napadač može dobiti pristup proizvoljnom pristupu za čitanje i pisanje te ima mogućnost onemogućiti SELinux. Izvješće XDA Developersa nadalje spominje da ova vrsta povlastice može natjerati napadača da petlja u operativni sustav i manipulira ugrađenom sigurnosnom rutinom, između ostalog.
U svojim popratnim odgovorima na tweetu, Lin također spominje da ranjivost nije ograničena samo na telefone. Slično utječe i na opću jezgru Linuxa. Nadalje ističe da su Android uređaji sa srpanjskim sigurnosnim ažuriranjem Androida također osjetljivi na ovu zero-day ranjivost.
Lin će vjerojatno podijeliti više o ovoj ranjivosti na Black Hat USA 2022, koji bi trebao početi sljedeći mjesec. Dva druga sigurnosna istraživača planiraju mu se pridružiti u 40-minutnom brifingu nazvanom - Oprezno: nova metoda iskorištavanja! Bez lule, ali gadan kao prljava lula.
Bug je prijavljen Googleu, tako da sada moramo čekati da triiraju bug, dodijele CVE, testiraju zakrpu, a zatim je uključe u budući Androidov sigurnosni bilten. Za sve će trebati vremena, pa popravak neće biti dostupan još nekoliko mjeseci.6. srpnja 2022
Vidi više
Još jedan post na tweetu Esperovog višeg tehničkog urednika Mishaala Rahmana koji se bavi ovom ranjivošću sugerira da je greška prijavljena Googleu. To znači da sada trebamo pričekati da Google riješi problem. Zatim dodijelite CVE, testirajte popravak i uključite zakrpu u sljedeći Androidov sigurnosni bilten kada primi izvješće o grešci. Ovo je očito dugotrajan proces; stoga rješenje neće biti dostupno još nekoliko mjeseci, sugerira Rahman.
U međuvremenu, vlasnici Android uređaja trebali bi biti oprezni prije nego što instaliraju nasumične aplikacije osim onih koje ispunjavaju uvjete putem Google Play Protect ili u potpunosti izbjegavajte instalaciju iz nepouzdanih izvora.