70% van de Android-toestellen is kwetsbaar voor een aanval waarbij het scannen van een QR-code en openen van bijbehorende link volstaat om een aanvaller volledige controle over het toestel te geven. De aanval maakt misbruik van de Webview-kwetsbaarheid die al bijna twee jaar bekend is.

Het lek is aanwezig in Android 4.1 en ouder. 70% van de Androidgebruikers draait één van deze kwetsbare versies. Beveiligingsbedrijf Metasploit heeft nu een exploitmodule voor het lek uitgebracht om de aanval te demonstreren. Het bedrijf hoopt dat de publicatie van de exploit ervoor zorgt dat sommige leveranciers het lek, dat via één klik is te misbruiken, eindelijk zullen patchen.

Metasploit

Metasploit is een framework waarmee security professionals, pentesters en systeembeheerders de veiligheid van systemen en netwerken kunnen testen. De exploitmodule die nu voor Metasploit is verschenen maakt misbruik van het WebView-lek mogelijk en is aan een QR-code te koppelen. Zodra mensen de QR-code scannen met een kwetsbaar toestel scannen kan een aanvaller shell op het toestel krijgen, zoals ook deze demonstratievideo laat zien.

"Er is hier veel meer over te zeggen, dus verwacht de komende dagen nog veel meer", aldus Tod Beardsley van Rapid7, het bedrijf dat Metasploit beheert en aanbiedt. Hij merkt op dat het nu de vraag voor gebruikers is wie het lek gaat patchen. "De winkelier die het toestel aan je verkocht? De fabrikant van de telefoonhardware? De telecomaanbieder? Google? Het zal een vraag zijn die journalisten en hopelijk consumentengroepen de komende weken zullen stellen", laat Beardsley weten.