¿Está sujetando un dispositivo Android en sus manos? Tal vez usted está leyendo este artículo en su teléfono Android? Android parece ser el sistema operativo móvil más popular. De hecho, en el segundo trimestre de 2018, 88 por ciento de todos los teléfonos inteligentes que se venden a los usuarios finales eran los teléfonos con el sistema operativo Android, de acuerdo a statista.
Hay un defecto sin parchear en Android, y es explotada activamente
Así, cualquier noticia en relación con una grave vulnerabilidad en Android, y mucho menos un problema sin parches, deben ser tratados como una alerta de amenaza. Según se informa, atacantes han estado explotando una vulnerabilidad sin parche tales, y utilizarlo para tomar el control de dispositivos comprometidos, y, finalmente, dejar caer el software espía.
Los propietarios de Huawei, Xiaomi, Samsung, los teléfonos LG y Google se ven afectados por esta falla. Pero qué es exactamente?
La vulnerabilidad sin parche se describe como una condición de memoria uso después de liberación en el componente aglutinante Android, que puede dar lugar a una escalada de privilegios. De hecho, el tema fue parcheado en Linux 4.14 kernel LTS, Android Open Source Project (AOSP) 3.18 núcleo, AOSP 4.4 kernel y AOSP 4.9 kernel en diciembre 2017 sin recibir un identificador de CVE. Entonces ¿por qué todavía se considera sin parches, si se abordó dos años van?
La razón es que AOSP (Proyecto Android Open Source) se encarga del código de Android referencia, pero los fabricantes de dispositivos individuales, tales como Google, No aplicar directamente. Estos fabricantes mantienen separados árboles de firmware para sus dispositivos, que a menudo ejecutar diferentes versiones del núcleo. En otras palabras, cada vez que una vulnerabilidad se fija en AOSP, los fabricantes necesitan para importar el parche y aplicarlo a su código de firmware personalizado. El problema es que este proceso no se ha hecho para este tema en particular, dejando sin parchear la vulnerabilidad.
He aquí una lista de los dispositivos vulnerables, de acuerdo a un informe por el investigador de Google Project Zero Maddie Piedra:
1) pixel 2 con Android 9 y Android 10 avance
2) P20 Huawei
3) Xiaomi redmi 5A
4) Xiaomi redmi Nota 5
5) Xiaomi A1
6) Oppo A3
7) Moto Z3
8) Oreo móviles LG (ejecutar mismo núcleo según el sitio web)
9) Samsung S7, S8, S9
Es importante tener en cuenta, sin embargo, que los dispositivos mencionados pueden no son los únicos afectados, como “la mayoría de los dispositivos Android antes de la caída 2018 Son afectados", de acuerdo con la Piedra.
¿Cómo se puede explotar este defecto sin parchear Android
Al ser una vulnerabilidad de elevación de privilegios, que puede ser aprovechado por una aplicación maliciosa para obtener privilegios de root, que poco medios de control de dispositivo completo. La vulnerabilidad permite a un escape de la zona de pruebas, que es fundamental para la seguridad de Android. Además, si el fallo está encadenado con un procesador de navegador explotar, que puede ser dirigido desde la Web, como la falla se puede aprovechar a través de la zona protegida del explorador.
Lo que es peor es que los investigadores tienen evidencia de que el error está siendo explotada en la naturaleza:
Tenemos evidencia de que este error se está utilizando en la naturaleza. Por lo tanto, Este error está sujeta a una 7 fecha límite día divulgación. Después 7 días transcurren o un parche se ha hecho ampliamente disponibles (Cualquiera que sea más temprano), el informe de fallo se hará visible al público.
La buena noticia es que AOSP ha compartido detalles con los proveedores afectados, y el parche está disponible para su implementación. Depende de cada proveedor cuando se realiza la aplicación de parches, y actualizado para dispositivos afectados son puestos en libertad. Google, por ejemplo, dice que la vulnerabilidad se fijará para Pixel 1 y 2 en la actualización de este mes.
Milena Dimitrova
Un escritor inspirado y administrador de contenido que ha estado con SensorsTechForum desde que comenzó el proyecto.. Un profesional con 10+ años de experiencia en la creación de contenido atractivo. Centrado en la privacidad de los usuarios y el desarrollo de malware, ella cree firmemente en un mundo donde la seguridad cibernética juega un papel central. Si el sentido común no tiene sentido, ella estará allí para tomar notas. Esas notas pueden convertirse más tarde en artículos! Siga Milena @Milenyim
Sígueme:
Hooray, Estoy en Android Uno y no se ve afectado.