Android 4.3 Jelly Bean и более ранние версии страдают от серьезной уязвимости выполнения кода

Скорее всего, если вы не используете флагманский смартфон или планшет Android от таких компаний, как Google, Motorola, Samsung, HTC или LG, то вы используете смартфон с версией Android 4.3 Jelly Bean. И если вы используете смартфон или планшет на Android 4.3 Jelly Bean или более ранней версии, вы, или скорее ваш смартфон/планшет, подвержены серьезной уязвимости выполнения кода. Эта уязвимость была обнаружена командой по безопасности приложений IBM девять месяцев назад. Эта уязвимость была исправлена в последней версии Android от Google, версии 4.4 KitKat, но Android 4.3 и более ранние версии Android остаются высоко уязвимыми.

Согласно последним доступным данным, только 13.6 % всех пользователей Android имеют KitKat на своем смартфоне или планшете. Это означает, что около 86.4 % смартфонов и планшетов на Android подвержены этой высокорисковой уязвимости.

• Исследователи безопасности IBM обнаружили, что уязвимость переполнения буфера стека находится в сервисе хранения KeyStore Android, который отвечает за хранение и защиту криптографических ключей устройства.

“Буфер стека создается методом ‘KeyStore::getKeyForName’” “Эта функция имеет несколько вызывающих, которые доступны внешним приложениям через интерфейс Binder (например, ‘android::KeyStoreProxy::get’). Поэтому переменная ‘keyName’ может контролироваться с произвольным размером злонамеренным приложением,” сказал Хэй. “Рутина ‘encode_key’, которая вызывается ‘encode_key_for_uid’, может переполнить буфер ‘filename’, поскольку проверка границ отсутствует.” объяснили эксперты

Любой, кто знает программирование API Android, может успешно использовать эту уязвимость. После эксплуатации хакер может выполнить злонамеренный код под процессом keystore. После выполнения такой код может привести к серьезной утечке учетных данных блокировки устройства. Поскольку мастер-ключ выводится из учетных данных блокировки, каждый раз, когда устройство разблокируется, вызывается ‘Android::KeyStoreProxy::password’ с учетными данными.

Он также может утечку расшифрованных мастер-ключей, данных и идентификаторов ключей, защищенных аппаратным обеспечением, из памяти и зашифрованных мастер-ключей, данных и идентификаторов ключей, защищенных аппаратным обеспечением, с диска для оффлайн-атаки. Хакеры также могут удаленно взаимодействовать с хранилищем, защищенным аппаратным обеспечением, и выполнять криптооперации (например, произвольную подпись данных) от имени пользователя.

• Потенциальный хакер теоретически может использовать вышеупомянутую уязвимость, которая существует на всех устройствах Android до Android 4.4 KitKat, но эксперты считают, что эксплуатация довольно сложна из-за наличия многочисленных трудностей, таких как необходимость обойти защиты на основе памяти, присущие операционной системе, включая предотвращение выполнения данных (DEP) и рандомизацию компоновки адресного пространства (ASLR). Предотвращение выполнения данных — это мера снижения риска, используемая для предотвращения выполнения злонамеренного кода, но злоумышленники добивались успеха в обходе ее с помощью атак, ориентированных на возврат (ROP). ASLR используется для снижения атак переполнения буфера, рандомизируя расположение памяти, используемое системными файлами и другими программами, реализуя эту технику, трудно угадать местоположение данного процесса.

• “Тем не менее, Android KeyStore восстанавливается каждый раз, когда он завершается. Это поведение позволяет использовать вероятностный подход; более того, злоумышленник может даже теоретически злоупотребить ASLR, чтобы обойти кодирование,” говорится в посте.

• Эксперты подтвердили, что они еще не видели, чтобы уязвимость использовалась в дикой природе.