Страх сцены (ошибка)
 Логотип ошибки библиотеки Stagefright | |
| Идентификатор(ы) CVE | CVE - 2015-1538 , CVE - 2015-1539 - 2015-3824 , CVE CVE- 2015-3826 , 2015-3827 , CVE- , CVE- 2015-3828 , CVE- 2015-3829 , CVE- 2015-3864 (Stagefright 1. 0), CVE- 2015-6602 (Страх 2.0) |
|---|---|
| Дата обнаружения | 27 июля 2015 г |
| Дата исправления | 3 августа 2015 г |
| Первооткрыватель | Джошуа Дрейк ( Cimperium ) |
| Затронутое программное обеспечение | Android 2.2 «Froyo» и более поздние версии (Stagefright 1.0), Android 1.5 «Cupcake» — Android 5.1 «Lollipop» (Stagefright 2.0) |
Stagefright — это название группы программных ошибок , которые затрагивают версии от 2.2 «Froyo» до 5.1.1 «Lollipop». [1] Android, подвергая операционной системы риску около 950 миллионов устройств (95% всех устройств Android). [1] Название взято из затронутой библиотеки, которая, помимо прочего, используется для распаковки MMS- сообщений. [2] Эксплуатация бага позволяет злоумышленнику выполнять произвольные операции на устройстве жертвы посредством удаленного выполнения кода и повышения привилегий . [3] Исследователи безопасности демонстрируют ошибки с помощью доказательства концепции , которая отправляет специально созданные MMS-сообщения на устройство жертвы и в большинстве случаев не требует никаких действий конечного пользователя при получении сообщения для успеха — пользователю не нужно ничего делать, чтобы «принять» эксплойты. использование ошибки; это происходит в фоновом режиме. Номер телефона — единственная информация, необходимая для проведения атаки. [4] [5] [6] [1]
Базовый вектор атаки использует определенные переполнения целых чисел уязвимости в основном компоненте Android, называемом libstagefright , [7] [8] [9] которая представляет собой сложную программную библиотеку, реализованную в основном на C++ как часть проекта Android с открытым исходным кодом (AOSP) и используемую в качестве внутреннего механизма для воспроизведения различных мультимедийных форматов, таких как файлы MP4 . [1] [10]
Обнаруженным ошибкам присвоено несколько уязвимостей и воздействий (CVE . ) идентификаторов общих 2015-1538 , CVE -2015-1539 , CVE- 2015-3824 , CVE- 2015-3826 , CVE- 2015-3827 , CVE- 2015-3828 , CVE- 2015-3829 и CVE- 2015-3864 (последний имеет были назначены отдельно от других), которые в совокупности называются ошибкой Stagefright. [11] [12] [13]
Для эксплуатации уязвимости специально не требуется MMS-сообщение. [14] (это был всего лишь пример использования уязвимости для RCE), но достаточно любой другой обработки специально созданного мультимедиа уязвимым компонентом, что можно сделать с помощью большинства приложений, работающих с медиафайлами, но не использующих собственные файлы. встроенные (которые увеличивают размер приложения и налагают дополнительные неоправданные затраты на его разработчика) чистое программное обеспечение (медленное и неэффективное энергопотребление) медиакодеки для этого, такие как медиаплееры/галереи, веб-браузеры (могут вызвать компрометацию диска ) и файловые менеджеры, показывающие миниатюры (можно использовать для обеспечения постоянства).
История
[ редактировать ]Ошибка Stagefright была обнаружена Джошуа Дрейком из охранной фирмы Zimperium и впервые публично анонсирована 27 июля 2015 года. Перед объявлением Дрейк сообщил об ошибке в Google в апреле 2015 года, которая включила соответствующее исправление в свою версию. исходного кода внутренние репозитории через два дня после отчета. [4] [5] [6] [1] В июле 2015 года московский исследователь безопасности Евгений Легеров заявил, что обнаружил как минимум две похожие связанные с переполнением кучи, уязвимости нулевого дня, в библиотеке Stagefright, заявив при этом, что библиотека уже некоторое время эксплуатировалась. Легеров также подтвердил, что обнаруженные им уязвимости становятся недоступными для использования после применения патчей, которые Дрейк отправил в Google. [3] [15]
Публичное полное раскрытие ошибки Stagefright, представленное Дрейком, состоялось 5 августа 2015 года в Black Hat USA. [16] конференции по компьютерной безопасности , а 7 августа 2015 года на DEF CON 23 [17] хакерская конвенция. [1] После раскрытия информации, 5 августа 2015 года, Zimperium публично опубликовал исходный код эксплойта для проверки концепции, а также актуальные патчи для библиотеки Stagefright (хотя с начала мая 2015 года патчи уже были общедоступны на AOSP и других открытых сайтах). исходных кодов репозитории [18] [19] ) и приложение для Android под названием «Детектор Stagefright», которое проверяет, уязвимо ли устройство Android к ошибке Stagefright. [12] [20]
13 августа 2015 г. появилась еще одна уязвимость Stagefright, CVE . 2015-3864 , опубликовано Exodus Intelligence. [13] Эта уязвимость не была устранена существующими исправлениями уже известных уязвимостей. Команда CyanogenMod опубликовала уведомление о том, что исправления для CVE-2015-3864 были включены в исходный код CyanogenMod 12.1 13 августа 2015 г. [21]
1 октября 2015 г. Zimperium опубликовал подробности о дальнейших уязвимостях, также известных как Stagefright 2.0. Эта уязвимость затрагивает специально созданные файлы MP3 и MP4, которые выполняют свою полезную нагрузку при воспроизведении с помощью сервера Android Media. Уязвимости присвоен идентификатор CVE — 2015-6602 и был найден в базовой библиотеке Android под названием libutils; компонент Android, существующий с момента его первого выпуска. Android 1.5–5.1 уязвимы для этой новой атаки, и, по оценкам, пострадало один миллиард устройств. [22]
Подразумеваемое
[ редактировать ]Android Хотя Google поддерживает основную кодовую базу и встроенное ПО , ответственность за обновления для различных устройств Android несут операторы беспроводной связи и производители оригинального оборудования (OEM). В результате распространение исправлений на реальные устройства часто приводит к длительным задержкам из-за большой фрагментации между производителями, вариантами устройств, версиями Android и различными настройками Android, выполняемыми производителями; [23] [24] более того, многие старые или более дешевые устройства могут вообще никогда не получить исправленную прошивку. [25] Многие из необслуживаемых устройств необходимо будет рутировать, что нарушает условия многих контрактов на беспроводную связь. Таким образом, характер ошибки Stagefright подчеркивает технические и организационные трудности, связанные с распространением патчей Android. [5] [26]
В попытке устранить задержки и проблемы, связанные с распространением исправлений для Android, 1 августа 2015 года компания Zimperium сформировала Zimperium Handset Alliance (ZHA) как ассоциацию различных сторон, заинтересованных в обмене информацией и получении своевременных обновлений по вопросам безопасности Android. проблемы. Члены ZHA также получили исходный код эксплойта Stagefright, разработанного Zimperium для проверки концепции, до того, как он был публично выпущен. По состоянию на 6 августа 2015 г. [update]25 крупнейших производителей устройств Android и операторов беспроводной связи присоединились к ZHA. [12] [18] [27]
смягчение последствий
[ редактировать ]Существуют определенные меры по устранению ошибки Stagefright для устройств под управлением непропатченных версий Android, включая отключение автоматического получения MMS-сообщений и блокировку приема текстовых сообщений от неизвестных отправителей. Однако эти два средства защиты поддерживаются не во всех приложениях MMS ( например, приложение Google Hangouts поддерживает только первое). [3] [5] и они не охватывают все возможные векторы атак устройства , которые делают возможным использование ошибки Stagefright другими способами, например, путем открытия или загрузки вредоносного мультимедийного файла с помощью веб-браузера . [7] [28]
Сначала считалось, что дальнейшее смягчение может быть достигнуто за счет функции рандомизации макета адресного пространства (ASLR), которая была представлена в Android 4.0 «Ice Cream Sandwich» и полностью включена в Android 4.1 «Jelly Bean» ; [7] [29] Версия Android 5.1 «Lollipop» включает исправления против ошибки Stagefright. [11] [30] К сожалению, в 2016 году были обнаружены более поздние результаты и эксплойты, такие как Metaphor , которые обходят ASLR.
Начиная с Android 10, программные кодеки были перенесены в «песочницу» , что эффективно снижает эту угрозу для устройств, способных работать под управлением этой версии ОС. [7] [31]
См. также
[ редактировать ]- История версий Android — список и описания выпущенных версий Android.
- MMS Еще одна уязвимость удаленного выполнения кода была обнаружена в 2020 году на смартфонах Samsung с ОС Android 8.0 (Oreo)–10.x (Q) CVE- 2020-8899 .
Ссылки
[ редактировать ]- ^ Jump up to: а б с д и ж «Эксперты нашли единорога в сердце Android» . zimperium.com . 27 июля 2015 г. Проверено 28 июля 2015 г.
- ^ «Страх сцены: все, что вам нужно знать о мега-ошибке Google в Android» .
- ^ Jump up to: а б с «Как защититься от уязвимости StageFright» . zimperium.com . 30 июля 2015 г. Проверено 31 июля 2015 г.
- ^ Jump up to: а б Рандл, Майкл (27 июля 2015 г.). « Ошибка Android «Stagefright» — «худшая из когда-либо обнаруженных» » . Проводной . Проверено 28 июля 2015 г.
- ^ Jump up to: а б с д Воан-Николс, Стивен Дж. (27 июля 2015 г.). «Страх сцены: насколько это страшно для пользователей Android?» . ЗДНет . Проверено 28 июля 2015 г.
- ^ Jump up to: а б Херн, Алекс (28 июля 2015 г.). «Страх сцены: новая уязвимость Android, получившая название «heartbleed для мобильных устройств» » . Хранитель . Проверено 29 июля 2015 г.
- ^ Jump up to: а б с д Вассерманн, Гаррет (29 июля 2015 г.). «Примечание об уязвимости VU#924951 — Android Stagefright содержит множество уязвимостей» . СЕРТ . Проверено 31 июля 2015 г.
- ^ «Интерфейсы Android: Медиа» . источник.android.com . 8 мая 2015 года . Проверено 28 июля 2015 г.
- ^ «платформа/фреймворки/av: media/libstagefright» . android.googlesource.com . 28 июля 2015 года . Проверено 31 июля 2015 г.
- ^ Кумар, Мохит (27 июля 2015 г.). «Простое текстовое сообщение для удаленного взлома любого телефона Android» . thehackernews.com . Проверено 28 июля 2015 г.
- ^ Jump up to: а б Хакетт, Роберт (28 июля 2015 г.). «Страх сцены: все, что вам нужно знать о мега-ошибке Google в Android» . Удача . Проверено 29 июля 2015 г.
- ^ Jump up to: а б с «Stagefright: Подробности об уязвимости, выпущен инструмент Stagefright Detector» . zimperium.com . 5 августа 2015 года . Проверено 25 августа 2015 г.
- ^ Jump up to: а б Грусковняк, Иордания; Портной, Аарон (13 августа 2015 г.). «Страх сцены: миссия выполнена?» . exodusintel.com . Проверено 8 октября 2015 г.
- ^ Приложения в Google Play – «Детектор страха сцены» .
- ^ Томас Фокс-Брюстер (30 июля 2015 г.). «У российского охотника «нулевого дня» есть ошибки в Android Stagefright, рассчитанные на взлом одним текстом» . Форбс . Проверено 31 июля 2015 г.
- ^ «Страх сцены: страшный код в сердце Android» . blackhat.com . 21 августа 2015 года . Проверено 25 августа 2015 г.
- ^ «Страх сцены: страшный код в сердце Android» . defcon.org . 7 августа 2015 г. Проверено 25 августа 2015 г.
- ^ Jump up to: а б «ZHA – Ускорение внедрения обновлений безопасности» . zimperium.com . 1 августа 2015 года . Проверено 25 августа 2015 г.
- ^ Джошуа Дж. Дрейк (5 мая 2015 г.). «Изменить Ie93b3038: запретить чтение за пределами буфера в 3GPP» . android-review.googlesource.com . Проверено 25 августа 2015 г.
- ^ Эрик Рэйвенскрафт (7 августа 2015 г.). «Детектор страха сцены определяет, подвержен ли ваш телефон страху сцены» . lifehacker.com . Проверено 25 августа 2015 г.
- ^ «Больше страха сцены» . www.cyanogenmod.org . 13 августа 2015 года. Архивировано из оригинала 13 августа 2015 года . Проверено 15 августа 2015 г.
- ^ «Уязвимости Stagefright 2.0 затрагивают 1 миллиард Android-устройств» . Threatpost.com . 1 октября 2015 года . Проверено 1 октября 2015 г.
- ^ Джейми Лендино (27 июля 2015 г.). «950 миллионов телефонов подвергаются риску текстового эксплойта «Stagefright» из-за фрагментации Android» . ExtremeTech.com . Проверено 31 июля 2015 г.
- ^ Джордан Минор (30 июля 2015 г.). «С страхом сцены (почти) ничего не поделаешь» . Журнал ПК . Проверено 31 июля 2015 г.
- ^ Купер Квинтин (31 июля 2015 г.). «StageFright: Сердце тьмы Android» . Фонд электронных границ . Проверено 2 августа 2015 г.
- ^ Фил Никинсон (27 июля 2015 г.). «Эксплойт «Страх сцены»: что вам нужно знать» . Центральный Android . Проверено 29 июля 2015 г.
- ^ Лучиан Армасу (6 августа 2015 г.). «Zimperium выпускает детектор уязвимостей Stagefright» . Аппаратное обеспечение Тома . Проверено 25 августа 2015 г.
- ^ Джошуа Дрейк (5 августа 2015 г.). «Страх сцены: пугающий код в самом сердце Android: исследование безопасности мультимедийной платформы Android» (PDF) . blackhat.com . стр. 31–39 . Проверено 25 августа 2015 г.
- ^ Джон Оберхайде (16 июля 2012 г.). «Устранение уязвимостей в Android Jelly Bean 4.1» . duosecurity.com . Проверено 31 июля 2015 г.
- ^ Майкл Крайдер (28 июля 2015 г.). «Google обещает обновление безопасности Stagefright для устройств Nexus, которое выйдет на следующей неделе» . androidpolice.com . Проверено 31 июля 2015 г.
- ^ Джефф Вандер Стоп, команда безопасности и конфиденциальности Android, и Чонг Чжан, команда Android Media (9 мая 2019 г.). «Улучшения усиления очереди» . android-developers.googleblog.com . Проверено 25 сентября 2019 г.
{{cite web}}:|author=имеет общее имя ( справка ) CS1 maint: несколько имен: список авторов ( ссылка )
Внешние ссылки
[ редактировать ]
- Демо Stagefright от zLabs на YouTube , 5 августа 2015 г.
- База данных эксплойтов для платформы Android
- Уязвимости безопасности CVE для Google Android
- Исправления кодовой базы Android от Google против ошибки Stagefright: патч №1 , патч №2 и патч №3.
