Miljoenen Android-toestellen kwetsbaar door nieuw lek
Onderzoekers hebben een ernstig beveiligingslek in Android ontdekt waardoor het mogelijk is om toegang tot toestellen te krijgen door alleen een mms-bericht te versturen. Vervolgens kan een aanvaller informatie stelen, e-mails lezen, de microfoon inschakelen en andere taken uitvoeren. De kwetsbaarheid bevindt zich in Stagefright, een mediabibliotheek die verschillende populaire mediaformaten verwerkt.
Beveiligingsbedrijf Zimperium ontdekte de kwetsbaarheid in het Android-onderdeel, dat het zelf het ergste Android-lek tot nu toe noemt. Een aanvaller hoeft namelijk alleen een mms-bericht te versturen om code op het toestel uit te voeren. Het is daarbij zelfs mogelijk om het bericht te verwijderen voordat de gebruiker dit te zien krijgt. Alleen de ontvangstmelding is het enige dat zichtbaar is. De onderzoekers waarschuwen dat de kwetsbaarheid zeer ernstig is, aangezien er geen enkele interactie van het slachtoffer is vereist.
Volgens schattingen zouden 950 miljoen Android-toestellen risico lopen. Het probleem speelt vooral bij Android-versies voor Jelly Bean, wat zo'n 11% van alle Android-toestellen is. Zimperium waarschuwde Google, dat inmiddels patches voor Android heeft uitgerold. In veel gevallen zijn telecomaanbieders en fabrikanten echter verantwoordelijk voor het verspreiden van updates onder hun gebruikers en het beveiligingsbedrijf vreest dan ook dat het erg lang kan duren voordat iedereen beschermd is.
Twee fabrikanten zijn echter een positieve uitzondering. De Blackphone van SilentCircle is inmiddels gepatcht en ook Mozilla Firefox is tegen het probleem beschermd. Tijdens de aankomende Black Hat conferentie in Las Vegas zullen meer details over de kwetsbaarheid bekend worden gemaakt.
"Tijdens de aankomende Black Hat conferentie in Las Vegas zullen meer details over de kwetsbaarheid bekend worden gemaakt. "
De bug zit nl in een core android component (stagefright)
jacobras
27 juli 2015 16:10
Afgaande op de code die Joshua Drake in CyanogenMod's repository heeft gecommit1 lijkt de bug te zitten in het inlezen van metadata uit een 3GPP-video (de boundaries van een buffer kunnen worden overschreden).
Het lek kan dus ook misbruikt worden als een 3GPP-video online wordt bekeken (of in een andere messaging-app).
https://github.com/CyanogenMod/android_frameworks_av/commit/57db9b42418b434751f609ac7e5539367e9f01a6
Hier lees ik iets anders.
"Only Android phones below version 2.2 are not affected"
http://www.forbes.com/sites/thomasbrewster/2015/07/27/android-text-attacks/
are at the worst risk due to inadequate exploit mitigations
Als een bekende besmet is, kan die nog steeds malware naar jou sturen. Als jij jezelf beschermt zou ik aanraden dat ook aan je vrienden te adviseren.
Peter
En geen enkele (andere) leverancier zal zich hier iets van aantrekken.
Ik wil iedereen aanraden om hun leverancier te bellen en een update te eisen. Dat betekent dus je telecom provider en, als je nog in de garantieperiode zit, de winkel waar je hem hebt gekocht. Ook als hij ouder is dan 6 maanden zal het niet moeilijk zijn om aan te tonen dat de fout vanaf het begin in het apparaat zat. De leverancier zal niet aannemelijk kunnen maken dat de fout is ontstaan door jouw handelingen.
Peter
--See more at: http://blog.zimperium.com/experts-found-a-unicorn-in-the-heart-of-android"
Het schrijven van native code zou veel meer vermeden (zo niet verboden) moeten worden en indien het toch moet gebeuren dan moet het samengaan met zeer uitgebreide en formele code reviews, -inspecties en tests!
Hier wordt gesteld dat dit inderdaad enige bescherming biedt: https://www.twilio.com/blog/2015/07/how-to-protect-your-android-device-from-stagefright-exploit.html. Maar op andere sites is men daar niet zo zeker van. Ik heb auto-retrieve desondanks toch maar uitgezet.
Ga dan naar hangouts en kies instellingen en dan jou account en dan uitnodigingen aanpassen, dan zet je vrienden en familie op uitnodigen en al het andere op kunnen geen contact met je opnemen.
Dit is een noodoplossing maar voorlopig kun je wel je even mee behelpen maar uitkijken blijft geboden!
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
