Miljoenen Android-toestellen kwetsbaar door nieuw lek
Onderzoekers hebben een ernstig beveiligingslek in Android ontdekt waardoor het mogelijk is om toegang tot toestellen te krijgen door alleen een mms-bericht te versturen. Vervolgens kan een aanvaller informatie stelen, e-mails lezen, de microfoon inschakelen en andere taken uitvoeren. De kwetsbaarheid bevindt zich in Stagefright, een mediabibliotheek die verschillende populaire mediaformaten verwerkt.
Beveiligingsbedrijf Zimperium ontdekte de kwetsbaarheid in het Android-onderdeel, dat het zelf het ergste Android-lek tot nu toe noemt. Een aanvaller hoeft namelijk alleen een mms-bericht te versturen om code op het toestel uit te voeren. Het is daarbij zelfs mogelijk om het bericht te verwijderen voordat de gebruiker dit te zien krijgt. Alleen de ontvangstmelding is het enige dat zichtbaar is. De onderzoekers waarschuwen dat de kwetsbaarheid zeer ernstig is, aangezien er geen enkele interactie van het slachtoffer is vereist.
Volgens schattingen zouden 950 miljoen Android-toestellen risico lopen. Het probleem speelt vooral bij Android-versies voor Jelly Bean, wat zo'n 11% van alle Android-toestellen is. Zimperium waarschuwde Google, dat inmiddels patches voor Android heeft uitgerold. In veel gevallen zijn telecomaanbieders en fabrikanten echter verantwoordelijk voor het verspreiden van updates onder hun gebruikers en het beveiligingsbedrijf vreest dan ook dat het erg lang kan duren voordat iedereen beschermd is.
Twee fabrikanten zijn echter een positieve uitzondering. De Blackphone van SilentCircle is inmiddels gepatcht en ook Mozilla Firefox is tegen het probleem beschermd. Tijdens de aankomende Black Hat conferentie in Las Vegas zullen meer details over de kwetsbaarheid bekend worden gemaakt.
"Tijdens de aankomende Black Hat conferentie in Las Vegas zullen meer details over de kwetsbaarheid bekend worden gemaakt. "
De bug zit nl in een core android component (stagefright)
jacobras
27 juli 2015 16:10
Afgaande op de code die Joshua Drake in CyanogenMod's repository heeft gecommit1 lijkt de bug te zitten in het inlezen van metadata uit een 3GPP-video (de boundaries van een buffer kunnen worden overschreden).
Het lek kan dus ook misbruikt worden als een 3GPP-video online wordt bekeken (of in een andere messaging-app).
https://github.com/CyanogenMod/android_frameworks_av/commit/57db9b42418b434751f609ac7e5539367e9f01a6
Hier lees ik iets anders.
"Only Android phones below version 2.2 are not affected"
http://www.forbes.com/sites/thomasbrewster/2015/07/27/android-text-attacks/
are at the worst risk due to inadequate exploit mitigations
Als een bekende besmet is, kan die nog steeds malware naar jou sturen. Als jij jezelf beschermt zou ik aanraden dat ook aan je vrienden te adviseren.
Peter
En geen enkele (andere) leverancier zal zich hier iets van aantrekken.
Ik wil iedereen aanraden om hun leverancier te bellen en een update te eisen. Dat betekent dus je telecom provider en, als je nog in de garantieperiode zit, de winkel waar je hem hebt gekocht. Ook als hij ouder is dan 6 maanden zal het niet moeilijk zijn om aan te tonen dat de fout vanaf het begin in het apparaat zat. De leverancier zal niet aannemelijk kunnen maken dat de fout is ontstaan door jouw handelingen.
Peter
--See more at: http://blog.zimperium.com/experts-found-a-unicorn-in-the-heart-of-android"
Het schrijven van native code zou veel meer vermeden (zo niet verboden) moeten worden en indien het toch moet gebeuren dan moet het samengaan met zeer uitgebreide en formele code reviews, -inspecties en tests!
Hier wordt gesteld dat dit inderdaad enige bescherming biedt: https://www.twilio.com/blog/2015/07/how-to-protect-your-android-device-from-stagefright-exploit.html. Maar op andere sites is men daar niet zo zeker van. Ik heb auto-retrieve desondanks toch maar uitgezet.
Ga dan naar hangouts en kies instellingen en dan jou account en dan uitnodigingen aanpassen, dan zet je vrienden en familie op uitnodigen en al het andere op kunnen geen contact met je opnemen.
Dit is een noodoplossing maar voorlopig kun je wel je even mee behelpen maar uitkijken blijft geboden!
Deze posting is gelocked. Reageren is niet meer mogelijk.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.