लगभग एक बिलियन Android डिवाइस MMS के माध्यम से रिमोट एक्सेस के लिए असुरक्षित हैं

स्क्रीनशॉट फोन के संक्रमण की संभावित प्रक्रिया को दर्शाता है। उपयोगकर्ता को एक संदेश प्राप्त होता है, इसके बारे में एक अधिसूचना स्क्रीन पर दिखाई देती है - और इस समय मैलवेयर पहले से ही सक्रिय है। अनलॉक की गई स्क्रीन पर, कुछ भी संदिग्ध दिखाई नहीं देता है। एक संदेश खोलना मैलवेयर को सक्रिय करेगा।

Zimperium कंप्यूटर सुरक्षा विशेषज्ञों ने कल अपने ब्लॉग पर लिखाऑपरेटिंग सिस्टम में निर्मित पुस्तकालयों में से एक की भेद्यता के बारे में। स्टेजफ्राइट विभिन्न प्रारूपों के मीडिया फ़ाइलों के प्रसंस्करण के लिए एक पुस्तकालय है। कंपनी के एक कर्मचारी को इसमें सकल त्रुटियां मिलीं, जो कि सबसे खराब स्थिति में एक विशेष रूप से गठित एमएमएस संदेश भेजकर, उपयोगकर्ता के हस्तक्षेप के बिना भी स्मार्टफोन पर नियंत्रण रखना संभव होगा। 95% Android उपकरणों में भेद्यता मौजूद है, जिसकी संख्या वर्तमान में एक बिलियन होने का अनुमान है।

चूंकि प्रसंस्करण और डिकोडिंग मीडिया में बहुत अधिक प्रोसेसर समय लगता है, अच्छा प्रदर्शन सुनिश्चित करने के लिए लाइब्रेरी को C ++ में लिखा जाता है। और यह भाषा एंड्रॉइड जावा के लिए सामान्य से अधिक जटिल और निम्न स्तर की है, और इस पर प्रोग्राम, ज़िमपेरियम के विशेषज्ञों के अनुसार, मेमोरी लीक से संबंधित त्रुटियों के लिए अधिक संभावना है।

तो इस बार ऐसा ही हुआ। एक हमलावर पर हमला करने के लिए, यह आपके फोन नंबर को जानने के लिए पर्याप्त है। एमएमएस के माध्यम से इस नंबर पर भेजी गई एक विशेष रूप से डिज़ाइन की गई मीडिया फ़ाइल न केवल संदेश प्राप्त होने पर फोन पर एक मनमाने कोड को तुरंत निष्पादित कर सकती है, बल्कि उसके बाद दुर्भावनापूर्ण संदेश को पूरी तरह से हटा भी सकती है। फोन के मालिक को किसी भी संदिग्ध फाइल को खोलने की जरूरत नहीं है - प्रक्रिया के अंत में उसे प्राप्त एमएमएस के बारे में केवल एक सूचना दिखाई देगी।



2.2 से शुरू होने वाले ओएस संस्करणों वाले स्मार्टफोन से कमजोरियां प्रभावित होती हैं। ओएस संस्करण 4.3 (जेली बीन) के साथ उपकरणों पर और बाद में, इस तरह के हमले को और अधिक कठिन होगा। एमएमएस संदेश भेजने के अलावा, हमलावर मीडिया फ़ाइलों के प्रसंस्करण में एक त्रुटि का शोषण कर सकते हैं और उदाहरण के लिए, किसी दुर्भावनापूर्ण वेबसाइट पर उपयोगकर्ता को फुसला कर। 5 अगस्त को ब्लैक हैट यूएसए हैकर सम्मेलनों और 7 अगस्त को डीईएफ कॉन 23 में विवरण का खुलासा किया जाएगा।

ज़िमपेरियम ने न केवल Google को भेद्यता संदेश भेजा है, बल्कि पैच के अपने स्वयं के संस्करण का भी प्रस्ताव दिया है। इंटरनेट दिग्गज ने तुरंत प्रतिक्रिया दी और ओएस के विभिन्न संस्करणों के लिए अपडेट जारी करना शुरू कर दिया। सच है, ओएस के विभिन्न संस्करणों के साथ उपकरणों के रोजमर्रा के जीवन में उपयोग को देखते हुए, स्मार्टफोन को अपडेट करने की प्रक्रिया तेज और 100% विश्वसनीय नहीं है। सुरक्षा विशेषज्ञों के अनुसार, डेढ़ साल से अधिक पुराने उपकरण आम तौर पर आवश्यक अपडेट प्राप्त करने की संभावना नहीं रखते हैं।

Source: https://habr.com/ru/post/hi382229/