Androidtoestellen kwetsbaar voor geheugenaanval
Een onbekend aantal Androidtoestellen is kwetsbaar voor een geheugenaanval waardoor een kwaadwillende app zonder enige permissies het toestel kan rooten. Dat hebben onderzoekers van de Vrije Universiteit in Amsterdam aangetoond. "Praktische alle toestellen zijn mogelijk kwetsbaar en moeten wachten op een fix van Google om te worden gepatcht", aldus de onderzoekers.
De aanval wordt Drammer genoemd, wat staat voor Deterministic Rowhammer. Het is een mobiele variant van de Rowhammer-aanval die vorig jaar werd gedemonstreerd. Rowhammer is een kwetsbaarheid in de hardware waardoor een aanvaller data in het geheugen kan manipuleren zonder dit te benaderen. Door herhaaldelijk een specifieke geheugenlocatie te lezen kan er ergens anders in het geheugen een bit "flippen". Een één kan een nul worden of een nul een één.
De onderzoekers hebben nu laten zien dat deze aanval ook op ARM-gebaseerde hardware mogelijk is. Daarbij maken de aanvallers ook gebruik van hun Flip Feng Shui-aanvalstechniek die ze eerder dit jaar al demonstreerden. Flip Feng Shui is een techniek die het mogelijk maakt om een hardwarematige kwetsbaarheid, zoals Rowhammer, op betrouwbare wijze uit te buiten. Hiervoor wordt het geheugen "gemasseerd", waardoor de onderzoekers hun app uiteindelijk steeds meer rechten konden geven, zo laten ze aan Wired weten. De aanval zou zonder dat gebruikers dit doorhebben kunnen worden uitgevoerd.
Update
"Drammer heeft de potentie om miljoenen gebruikers risico te laten lopen, zeker wanneer gecombineerd met bestaande aanvalsvectoren zoals Stagefright of BAndroid", aldus de onderzoekers. Die waarschuwden Google op 25 juli van dit jaar. Google informeerde fabrikanten eerder van deze maand over het probleem en zal tijdens het Android Security Bulletin van november met een update komen. De internetgigant heeft het beveiligingslek als ernstig bestempeld.
Tijdens de ACM Conferentie over Computer en Communicatie Security in Oostenrijk zullen de onderzoekers meer details over hun vinding prijsgeven. Ze hebben ook een app ontwikkeld waarmee Androidgebruikers kunnen testen of hun toestel kwetsbaar is. Deze app (apk) is nog niet via Google Play te downloaden. Onderstaande video demonstreert de Drammer-aanval tegen een LG Nexus 5 met Android 6.0.1 met de allerlaatste beveiligingsupdates.
Wat moet ik nu? Weer gauw naar de winkel om een nieuwe versie aan te schaffen?? Kom nou zeg!
Wat moet ik nu? Weer gauw naar de winkel om een nieuwe versie aan te schaffen?? Kom nou zeg!
Android is gratis. Als wat jij zegt de waarheid is, ben je opgelicht.
Echter, schat ik in dat je niet bedoeld wat je eigenlijk zegt.
Ik neem aan dat je een telefoon hebt aangeschaft.
Als je een goede keus heb gemaakt heb je er een aangeschaft van een fabrikant die snel updates levert.
Vixen
Wat moet ik nu? Weer gauw naar de winkel om een nieuwe versie aan te schaffen?? Kom nou zeg!
Als het goed is, is deze aanval al netjes gemeld bij Google en is er al een update beschikbaar.
Echter, door de lastige update-structuur waar Google zich in heeft gewerkt zijn fabrikanten zelf verantwoordelijk voor het pushen van een dergelijke update.
Heb je een toestel van Google (een nexus) dan zit je goed. Je kunt de update waarschijnlijk direct verwachten.
Bij andere fabrikanten (LG, Samsung, HTC etc.) blijft het hopen op een snelle reactie. Dit kan soms tot een half jaar na ontdekken van een lek duren voordat een update beschikbaar komt.
Dit betekend dus minimaal tot 24 maanden na aankoop en niet, zoals nu vaak is, 6 weken ............
Dit betekend dus minimaal tot 24 maanden na aankoop en niet, zoals nu vaak is, 6 weken ............
Android gebruikt wel een (aangepaste) Linux kernel, maar verder is het geen algemeen besturingssysteem, dus al helemaal geen Unix, ook al lijkt het er en beetje op..........
Ai ai ai...
Geen symptomen betekend absoluut niet dat er niets aan de hand is / dat je niks hebt / dat je niet kwetsbaar bent...
Je telefoon kan immuun zijn, maar ga nooit er zomaar vanuit, dat je niet kwetsbaar bent. Naïef zijn kan gevaarlijk zijn...
Vixen
Android gebruikt wel een (aangepaste) Linux kernel, maar verder is het geen algemeen besturingssysteem, dus al helemaal geen Unix, ook al lijkt het er en beetje op..........
Beiden fout ...
rowhammer is een hardware lek . Door heel slim geheugen patronen te schrijven is het mogelijk om bits in _andere_ geheugengebieden te laten omklappen . Als die andere gebieden security relevante data bevatten (crypto keys, privileges) kun je dat exploiten.
Dat is wat rowhammer doet (op x86 ) en deterministic rowhammer (drammer) op ARM .
Het gekozen OS platform was in het ene geval Linux, in het andere geval Linux/Android .
Het OS kan heel weinig echt doen wanneer kritische data buiten het OS om herschreven kunnen worden.
Het OS kan de exploit een klein beetje lastiger maken , maar de echte fix moet van hardware komen - ECC , of wat trucage in de ram/refresh controller.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.