Найдена новая уязвимость Android, в опасности устройства Pixel, Samsung, Huawei, Xiaomi

Уязвимость была исправлена в более старых версиях ОС Android, но вновь появилась в более новых версиях.

Сегодня Google сообщил, что они нашли доказательства того, что уязвимость Android unpatched  используется для атак в реальном мире - так называемый "нулевой день"/"zero-day". Уязвимость находится в коде ядра операционной системы Android и может быть использована, чтобы помочь злоумышленнику получить корневой доступ к устройству.

По иронии судьбы, уязвимость была исправлена в декабре 2017 года в версиях ядра Android 3.18, 4.14, 4.4 и 4.9, но более новые версии оказались уязвимыми. Исследователи Google считают, что уязвимость влияет на следующие модели телефонов Android, работающие под управлением Android 8.X и более новых:

Pixel 2 с Android 9 и Android 10
Huawei P20 Xiaomi Redmi 5A
Xiaomi Redmi Note 5
Xiaomi В А1
Oppo A3
Moto Z3
Телефоны Oreo LG
Samsung С7, С8, С9

Исследователи Google также заявили, что "эксплойт требует незначительной настройки для каждого устройства", что означает, что он должен работать в широком диапазоне телефонов, хотя они не подтвердили это с помощью тестов, как это было сделано для устройств, перечисленных выше.

Google: "Нулевой день" связан с NSO Group

Уязвимость была обнаружена командой Google Project Zero, а позже подтверждена, что она использовалась в реальных атаках группой анализа угроз компании (TAG). Это две команды, которые обнаружили в прошлом месяце пакет из 14 "zero-day", используемых против пользователей iOS.

Тем не менее, Android zero-day и iOS zero-days, похоже, не связаны. В то время как атаки на пользователей iOS были связаны с китайской спонсируемой государством группой, проводящей операции наблюдения против своих собственных граждан, подробности о Android zero-day в настоящее время ограничены.

Google сказал, что он считает, что Android zero-day - это работа NSO Group, израильской компании, известной продажей эксплойтов и инструментов наблюдения.

Компания подверглась критике за продажу хакерских инструментов репрессивным режимам, но столкнувшись с растущей критикой, недавно пообещала бороться с клиентами, которые злоупотребляют ее инструментами, чтобы шпионить за невинными или политическими противниками. Отвечая на запрос о комментариях от ZDNet, компания добавила следующее, отрицая, что эксплойт является одним из их собственных.

Не так опасно, как могло бы быть

Хорошей новостью является то, что Android zero-day не так опасен, как другие прошлые нулевые дни. Во-первых, это не RCE (удаленное выполнение кода), который можно использовать без взаимодействия с пользователем. Существуют определенные условия, которые необходимо выполнить, прежде чем злоумышленник сможет воспользоваться этой уязвимостью.

"Эта проблема оценивается как высокая степень серьезности на Android и сама по себе требует установки вредоносного приложения для потенциальной эксплуатации", - сказал представитель проекта Android. Любые другие векторы, такие как через веб-браузер, требуют цепочки с дополнительным эксплойтом.

Нулевой день теперь отслеживается как CVE-2019-2215. Эта запись отслеживания ошибок от команды Project Zero содержит код доказательства концепции и дополнительные сведения для исследователей безопасности, которые хотят воспроизвести ошибку и протестировать другие устройства.