การเอารัดเอาเปรียบ Android 'stagefright': สิ่งที่คุณต้องรู้

ในเดือนกรกฎาคม 2558 บริษัท รักษาความปลอดภัย Zimperium ประกาศว่า บริษัท ได้ค้นพบช่องโหว่ "ยูนิคอร์น" ในระบบปฏิบัติการ Android รายละเอียดเพิ่มเติมถูกเปิดเผยต่อสาธารณชนในการประชุม BlackHat ในต้นเดือนสิงหาคม แต่ไม่ก่อนที่จะพาดหัวข่าวประกาศว่าอุปกรณ์ Android เกือบพันล้านเครื่องอาจถูกยึดครองโดยที่ผู้ใช้ไม่รู้ตัว

ดังนั้น "Stagefright" คืออะไร? และคุณจำเป็นต้องกังวลเกี่ยวกับเรื่องนี้หรือไม่?

เรากำลังปรับปรุงโพสต์นี้อย่างต่อเนื่องเมื่อมีการเผยแพร่ข้อมูลเพิ่มเติม นี่คือสิ่งที่เรารู้และสิ่งที่คุณต้องรู้

Stagefright คืออะไร

"Stagefright" เป็นชื่อเล่นที่มอบให้กับการหาประโยชน์ที่อาจเกิดขึ้นซึ่งอาศัยอยู่ในระบบปฏิบัติการ Android ค่อนข้างลึก ส่วนสำคัญคือวิดีโอที่ส่งผ่าน MMS (ข้อความ) สามารถใช้ในทางทฤษฎีเป็นช่องทางของการโจมตีผ่านกลไก libStageFright (เช่นชื่อ "Stagefright") ซึ่งช่วยให้ Android ประมวลผลไฟล์วิดีโอ แอปส่งข้อความตัวอักษรหลายตัว - แอปแฮงเอาท์ของ Google ได้รับการกล่าวถึงโดยเฉพาะ - ประมวลผลวิดีโอนั้นโดยอัตโนมัติดังนั้นจึงพร้อมสำหรับการดูทันทีที่คุณเปิดข้อความและการโจมตีในทางทฤษฎีอาจเกิดขึ้นโดยที่คุณไม่รู้ตัว

เนื่องจาก libStageFright ย้อนกลับไปเป็น Android 2.2 โทรศัพท์หลายร้อยล้านเครื่องจึงมีไลบรารีที่มีข้อบกพร่องนี้

17-18 ส.ค.: การหาประโยชน์ยังคงอยู่หรือไม่

เช่นเดียวกับที่ Google เริ่มเปิดตัวการอัปเดตสำหรับสาย Nexus บริษัท Exodus เผยแพร่โพสต์บล็อกอย่างน่าเกรงขามโดยบอกว่าการใช้ประโยชน์อย่างน้อยหนึ่งรายการยังคงไม่ตรงกันซึ่งหมายความว่า Google ทำให้รหัสผิดพลาด สิ่งพิมพ์ของสหราชอาณาจักร The Register ซึ่งเขียนขึ้นอย่างฟุ่มเฟือยอ้างราคาวิศวกรจาก Rapid7 ว่าการแก้ไขครั้งต่อไปจะมาในการอัปเดตความปลอดภัยของเดือนกันยายนซึ่งเป็นส่วนหนึ่งของกระบวนการปรับปรุงความปลอดภัยรายเดือนใหม่

Google ยังไม่ได้ระบุที่อยู่สำหรับการเรียกร้องครั้งล่าสุดนี้

ในกรณีที่ไม่มีรายละเอียดเพิ่มเติมใด ๆ สำหรับสิ่งนี้เรามีแนวโน้มที่จะเชื่อว่ายิ่งแย่ลงเรากลับไปที่จุดเริ่มต้น - มีข้อบกพร่องใน libStageFight แต่มีความปลอดภัยอื่น ๆ ที่ควรลดความเป็นไปได้ของอุปกรณ์ ถูกเอารัดเอาเปรียบจริง ๆ

วันที่ 18 สิงหาคม Trend Micro เผยแพร่บทความในบล็อกบนข้อบกพร่องอื่นใน libStageFright มันบอกว่ามันไม่มีหลักฐานว่ามีการใช้ช่องโหว่นี้จริง ๆ และ Google ได้ทำการเผยแพร่ patch ไปยัง Android Open Source Project เมื่อวันที่ 1 สิงหาคม

ใหม่รายละเอียด Stagefright ณ วันที่ 5 สิงหาคม

ร่วมกับการประชุม BlackHat ในลาสเวกัสซึ่งมีการเปิดเผยรายละเอียดเพิ่มเติมเกี่ยวกับช่องโหว่ Stagefright ต่อสาธารณชน - Google ได้กล่าวถึงสถานการณ์โดยเฉพาะพร้อมวิศวกรนำเพื่อความปลอดภัย Android Adrian Ludwig บอก NPR ว่า "ปัจจุบัน 90 เปอร์เซ็นต์ของอุปกรณ์ Android มีเทคโนโลยี เรียกว่าเปิดใช้งาน ASLR ซึ่งช่วยปกป้องผู้ใช้จากปัญหา"

นี่เป็นสิ่งที่ขัดแย้งกันอย่างมากกับอุปกรณ์ "900 ล้าน Android ที่มีช่องโหว่" ที่เราได้อ่านทั้งหมด ในขณะที่เราจะไม่เข้าไปท่ามกลางสงครามของคำและอวดอ้างเหนือตัวเลขสิ่งที่ลุดวิกพูดว่าคืออุปกรณ์ที่ใช้ Android 4.0 หรือสูงกว่า - นั่นคือประมาณ 95 เปอร์เซ็นต์ของอุปกรณ์ที่ใช้งานทั้งหมดที่มีบริการของ Google - มีการป้องกัน บัฟเฟอร์การโจมตีล้นในตัว

ASLR (เป็น ก้าวร้าว L ayout R andomization) เป็นวิธีการที่ทำให้ผู้โจมตีไม่สามารถค้นหาฟังก์ชั่นที่เขาหรือเธอต้องการได้อย่างน่าเชื่อถือและพยายามใช้ประโยชน์จากการจัดพื้นที่หน่วยความจำที่อยู่ของกระบวนการแบบสุ่ม ASLR เปิดใช้งานใน Linux Kernel เริ่มต้นตั้งแต่เดือนมิถุนายน 2548 และเพิ่มลงใน Android ด้วยเวอร์ชัน 4.0 (Ice Cream Sandwich)

สำหรับคำหนึ่งนั้นเป็นอย่างไร?

ความหมายคือพื้นที่สำคัญของโปรแกรมหรือบริการที่ใช้ไม่ได้อยู่ในที่เดียวกันใน RAM ทุกครั้ง การใส่สิ่งต่าง ๆ ลงในหน่วยความจำแบบสุ่มหมายความว่าผู้โจมตีต้องเดาตำแหน่งที่จะค้นหาข้อมูลที่ต้องการใช้ประโยชน์

นี่ไม่ใช่การแก้ไขที่สมบูรณ์แบบและในขณะที่กลไกการป้องกันโดยทั่วไปนั้นดีเรายังต้องการแพตช์โดยตรงเพื่อหาช่องโหว่ที่เกิดขึ้น Google, Samsung (1), (2) และ Alcatel ได้ประกาศ patch โดยตรงสำหรับ stagefright และ Sony, HTC และ LG บอกว่าพวกเขาจะปล่อย patch update ในเดือนสิงหาคม

ใครพบการโกงนี้

การโจมตีดังกล่าวได้รับการประกาศเมื่อวันที่ 21 กรกฎาคมโดย Zimperium บริษัท รักษาความปลอดภัยมือถือซึ่งเป็นส่วนหนึ่งของการประกาศงานปาร์ตี้ประจำปีที่การประชุม BlackHat ใช่คุณอ่านถูกต้องแล้ว "แม่ของช่องโหว่ Android ทั้งหมด" ตามที่ Zimperium ประกาศวันที่ 21 กรกฎาคม (หนึ่งสัปดาห์ก่อนที่ทุกคนตัดสินใจที่จะดูแลอย่างเห็นได้ชัด) และเพียงไม่กี่คำกระสุนที่ยิ่งใหญ่กว่าของ "ในตอนเย็นของวันที่ 6 สิงหาคม Zimperium จะ เขย่าฉากปาร์ตี้ของ Vegas! " และคุณรู้ว่ามันจะเป็น rager เพราะมันเป็น "ปาร์ตี้เวกัสประจำปีของเราสำหรับนินจาที่เราชื่นชอบ" สมบูรณ์ด้วยแฮชแท็กร็อกกิ้งและทุกอย่าง

การใช้ประโยชน์นี้แพร่หลายมากแค่ไหน?

อีกครั้งจำนวนอุปกรณ์ที่มีข้อบกพร่องในไลบรารี libStageFright นั้นใหญ่มากเพราะมันอยู่ในระบบปฏิบัติการของตัวเอง แต่ Google ระบุไว้หลายครั้งมีวิธีอื่นที่ควรปกป้องอุปกรณ์ของคุณ คิดว่ามันเป็นความปลอดภัยในเลเยอร์

ดังนั้นฉันควรกังวลเกี่ยวกับ Stagefright หรือไม่?

ข่าวดีก็คือว่านักวิจัยที่ค้นพบข้อบกพร่องนี้ใน Stagefright "ไม่เชื่อว่าแฮกเกอร์ออกมาในป่ากำลังเอาเปรียบมัน" ดังนั้นจึงเป็นเรื่องเลวร้ายมากที่เห็นได้ชัดว่าไม่มีใครใช้กับใครเลยอย่างน้อยก็ตามคนคนนี้ และอีกครั้ง Google บอกว่าถ้าคุณใช้ Android 4.0 ขึ้นไปคุณอาจจะตกลง

นั่นไม่ได้หมายความว่ามันไม่ได้เป็นการใช้ประโยชน์ที่ไม่ดี มันคือ. และมันยังเน้นถึงความยากลำบากในการรับการอัปเดตที่ถูกผลักออกไปจากผู้ผลิตและผู้ให้บริการระบบนิเวศ ในทางตรงกันข้ามมันเป็นช่องทางที่มีศักยภาพสำหรับการใช้ประโยชน์ที่เห็นได้ชัดว่ามีมาตั้งแต่ Android 2.2 - หรือโดยทั่วไปในช่วงห้าปีที่ผ่านมา นั่นอาจทำให้คุณระเบิดเวลาฟ้องหรือถุงอ่อนโยนขึ้นอยู่กับมุมมองของคุณ

และในส่วนของ Google ในเดือนกรกฎาคมย้ำถึง Android Central ว่ามีกลไกหลายอย่างเพื่อปกป้องผู้ใช้

เราขอบคุณ Joshua Drake สำหรับการช่วยเหลือของเขา ความปลอดภัยของผู้ใช้ Android เป็นสิ่งสำคัญอย่างยิ่งสำหรับเราดังนั้นเราจึงตอบกลับอย่างรวดเร็วและมีการมอบแพทช์ให้กับพันธมิตรที่สามารถใช้กับอุปกรณ์ใด ๆ

อุปกรณ์ Android ส่วนใหญ่รวมถึงอุปกรณ์ที่ใหม่กว่าทั้งหมดมีเทคโนโลยีหลายอย่างที่ออกแบบมาเพื่อให้การหาประโยชน์ทำได้ยากขึ้น อุปกรณ์ Android ยังมีแอปพลิเคชั่นแซนด์บ็อกซ์ที่ออกแบบมาเพื่อปกป้องข้อมูลผู้ใช้และแอปพลิเคชันอื่น ๆ บนอุปกรณ์

สิ่งที่เกี่ยวกับการปรับปรุงเพื่อแก้ไข Stagefright?

เราจะต้องมีการปรับปรุงระบบเพื่อแก้ไขสิ่งนี้อย่างแท้จริง ใน "กลุ่มความปลอดภัยของ Android" ใหม่ในบูลีน 12 สิงหาคม Google ออก "บูเลทีนการรักษาความปลอดภัย Nexus" รายละเอียดสิ่งต่าง ๆ จากจุดสิ้นสุด มีรายละเอียดเกี่ยวกับ CVE หลายตัว (ช่องโหว่ทั่วไปและการเปิดเผย) ซึ่งรวมถึงเมื่อคู่ค้าได้รับแจ้ง (ช่วงต้นวันที่ 10 เมษายนสำหรับหนึ่ง) ซึ่งการสร้างการแก้ไขที่โดดเด่นของ Android (Android 5.1.1, สร้าง LMY48I) และปัจจัยอื่น ๆ ชุดรูปแบบหน่วยความจำ ASLR ดังกล่าว)

Google ยังกล่าวอีกว่าได้อัปเดตแอปแฮงเอาท์และ Messenger เพื่อไม่ให้ประมวลผลข้อความวิดีโอโดยอัตโนมัติในพื้นหลัง "เพื่อไม่ให้สื่อถูกส่งผ่านไปยังกระบวนการสื่อกลางโดยอัตโนมัติ"

ข่าวร้ายก็คือคนส่วนใหญ่กำลังทำเพื่อรอผู้ผลิตและผู้ให้บริการที่จะผลักดันการปรับปรุงระบบ แต่อีกครั้ง - ในขณะที่เรากำลังพูดถึงโทรศัพท์ที่มีช่องโหว่ 900 ล้านเครื่องเรายังพูดถึงกรณีที่ไม่มีการใช้ประโยชน์ นี่เป็นอัตราต่อรองที่ค่อนข้างดี

HTC ได้กล่าวว่าการอัปเดตจากที่นี่ออกจะมีการแก้ไข และ CyanogenMod ก็กำลังรวมเข้าด้วยกันในตอนนี้เช่นกัน

โมโตโรล่ากล่าวว่าโทรศัพท์รุ่นปัจจุบันทั้งหมด - จาก Moto E ไปจนถึง Moto X ใหม่ล่าสุด (และทุกอย่างที่อยู่ระหว่าง) จะได้รับการติดตั้งซึ่งรหัสจะไปที่ผู้ให้บริการที่เริ่มตั้งแต่ 10 สิงหาคม

ในวันที่ 5 สิงหาคม Google เปิดตัวอิมเมจระบบใหม่สำหรับ Nexus 4, Nexus 5, Nexus 6, Nexus 7, Nexus 9 และ Nexus 10 Google ยังประกาศว่าจะเปิดตัวการอัปเดตความปลอดภัยรายเดือนสำหรับสาย Nexus สำหรับสาย Nexus (โครงสร้างตัวอย่าง M ที่เผยแพร่สู่สาธารณชนครั้งที่สองดูเหมือนจะได้รับการแก้ไขแล้วเช่นกัน)

และในขณะที่เขาไม่ได้ตั้งชื่อการฉวยโอกาส Stagefright ตามชื่อ Adrian Ludwig ของ Google ก่อนหน้านี้บน Google+ ได้กล่าวถึงช่องโหว่และความปลอดภัยโดยทั่วไปแล้วเตือนเราถึงเลเยอร์หลาย ๆ ที่เข้าสู่การปกป้องผู้ใช้อีกครั้ง เขาเขียน:

มีข้อสันนิษฐานทั่วไปที่เข้าใจผิดว่ามีข้อบกพร่องของซอฟต์แวร์ใด ๆ ที่สามารถเปลี่ยนเป็นการใช้ประโยชน์ด้านความปลอดภัย ในความเป็นจริงข้อผิดพลาดส่วนใหญ่ไม่สามารถใช้ประโยชน์ได้และมีหลายสิ่งที่ Android ได้ทำเพื่อปรับปรุงโอกาสเหล่านั้น เราใช้เวลา 4 ปีที่ผ่านมาลงทุนอย่างหนักในเทคโนโลยีที่มุ่งเน้นไปที่บั๊กประเภทหนึ่ง - บั๊กความจำเสื่อม - และพยายามทำให้บั๊กเหล่านั้นยากต่อการใช้ประโยชน์