Stagefright (ошибка) - Stagefright (bug)

Боязнь сцены
Stagefright bug logo.png
Логотип ошибки библиотеки Stagefright
Идентификатор (ы) CVECVE -2015-1538, CVE-2015-1539, CVE-2015-3824, CVE-2015-3826, CVE-2015-3827, CVE-2015-3828, CVE-2015-3829, CVE-2015-3864 (Stagefright 1.0),
CVE-2015-6602 (Stagefright 2.0)
Дата обнаружения27 июля 2015 г.; 5 лет назад (2015-07-27)
Дата исправления3 августа 2015 г.; 5 лет назад (2015-08-03)
ПервооткрывательДжошуа Дрейк (Зимпериум )
Затронутое программное обеспечениеAndroid 2.2 «Froyo» и более поздних версий (Stagefright 1.0),
Android 1.5 "Кекс" к Android 5.1 «Леденец» (Stagefright 2.0)

Боязнь сцены это имя, данное группе программные ошибки которые влияют на версии 2.2 «Фройо» из Android Операционная система. Имя взято из затронутой библиотеки, которая, помимо прочего, используется для распаковки MMS Сообщения.[1] Эксплуатация ошибки позволяет злоумышленнику выполнять произвольные операции на устройстве жертвы через удаленное выполнение кода и повышение привилегий.[2] Безопасность исследователи демонстрируют ошибки с помощью доказательство концепции который отправляет на устройство жертвы специально созданные MMS-сообщения и в большинстве случаев не требует конечный пользователь действия при получении сообщения для успеха - пользователю не нужно ничего делать, чтобы «принять» эксплойты, использующие ошибку; это происходит в фоновом режиме. Номер телефона - единственная информация, необходимая для проведения атаки.[3][4][5][6]

Лежащий в основе вектор атаки эксплуатирует определенные целочисленное переполнение уязвимости в основном компоненте Android под названием libstagefright,[7][8][9] что является сложным библиотека программного обеспечения реализовано в основном в C ++ как часть Проект с открытым исходным кодом Android (AOSP) и используется как серверная часть для воспроизведения различных мультимедийных форматов, таких как MP4 файлы.[6][10]

Обнаруженные ошибки были снабжены множеством Идентификаторы Common Vulnerabilities and Exposures (CVE), CVE -2015-1538, CVE-2015-1539, CVE-2015-3824, CVE-2015-3826, CVE-2015-3827, CVE-2015-3828, CVE-2015-3829 и CVE-2015-3864 (последний был назначен отдельно от других), которые в совокупности называются ошибкой Stagefright.[11][12][13]

История

Ошибка Stagefright была обнаружена Джошуа Дрейком из Зимпериум компании, занимающейся безопасностью, и об этом было впервые публично объявлено 27 июля 2015 года. Перед объявлением Дрейк сообщил об ошибке Google в апреле 2015 г. Исправлена ​​ошибка во внутренний исходный код репозитории через два дня после отчета.[3][4][5][6] В июле 2015 года московский исследователь безопасности Евгений Легеров заявил, что обнаружил как минимум два похожих переполнение кучи уязвимости нулевого дня в библиотеке Stagefright, заявив при этом, что библиотека уже некоторое время эксплуатируется. Легеров также подтвердил, что обнаруженные им уязвимости становятся неработоспособными благодаря применению патчи Дрейк отправил в Google.[2][14]

Публика полное раскрытие ошибки Stagefright, представленной Дрейком, произошли 5 августа 2015 г. Черная шляпа Соединенные Штаты Америки[15] конференция по компьютерной безопасности, а 7 августа 2015 г. DEF CON  23[16] хакер соглашение.[6] После раскрытия информации 5 августа 2015 года Zimperium публично выпустил исходный код экспериментального эксплойта, актуальные патчи для библиотеки Stagefright (хотя патчи уже были общедоступны с начала мая 2015 года в AOSP и другие Открытый исходный код репозитории[17][18]) и Android-приложение под названием "Детектор боязни", которое проверяет, Устройство Android уязвима для ошибки Stagefright.[12][19]

По состоянию на 3 августа 2015 г., исправлено лишь несколько продуктов: Blackphone с PrivatOS начиная с его версии 117, ночные выпуски CyanogenMod 12.0 и 12.1,[20] Спринт вариант Samsung Galaxy Note 4,[21] Moto E, G и X, Droid Maxx, Mini и Turbo,[22] и Mozilla Firefox начиная с его версии 38 (и ОС Firefox с 2.2)[23] (это веб-браузер внутренне использует библиотеку Android Stagefright).[4][5][24]

13 августа 2015 г. возникла еще одна уязвимость Stagefright, CVE -2015-3864, был опубликован Exodus Intelligence.[13] Эта уязвимость не была устранена существующими исправлениями уже известных уязвимостей. Команда CyanogenMod опубликовала уведомление о том, что исправления для CVE-2015-3864 были включены в исходный код CyanogenMod 12.1 13 августа 2015 года.[25]

1 октября 2015 года Zimperium опубликовал подробную информацию о других уязвимостях, также известных как Stagefright 2.0. Эта уязвимость затрагивает специально созданные файлы MP3 и MP4, которые выполняют свою полезную нагрузку при воспроизведении с помощью сервера Android Media. Уязвимости присвоен идентификатор CVE -2015-6602 и был найден в основной библиотеке Android под названием libutils; компонент Android, существующий с момента первого выпуска Android. Android 1.5–5.1 уязвимы для этой новой атаки, и, по оценкам, она затронула один миллиард устройств.[26]

Подразумеваемое

В то время как Google поддерживает основной кодовая база и прошивка, обновления для различных устройств Android являются обязанностью операторы беспроводной связи и производители оригинального оборудования (OEM). В результате распространение исправлений на реальные устройства часто приводит к длительным задержкам из-за большой фрагментации между производителями, вариантами устройств, версиями Android и различными настройками Android, выполненными производителями;[27][28] более того, многие старые или недорогие устройства могут вообще никогда не получить исправленную прошивку.[29] Многие из необслуживаемых устройств должны быть рутированы, что нарушает условия многих беспроводных контрактов. Таким образом, природа ошибки Stagefright подчеркивает технические и организационные трудности, связанные с распространением патчей Android.[4][30]

В качестве попытки устранить задержки и проблемы, связанные с распространением патчей для Android, 1 августа 2015 года Zimperium сформировал Zimperium Handset Alliance (ZHA) как объединение различных сторон, заинтересованных в обмене информацией и получении своевременных обновлений по вопросам безопасности Android. Члены ZHA также получили исходный код экспериментального эксплойта Stagefright от Zimperium, прежде чем он был опубликован. По состоянию на 6 августа 2015 г., 25 крупнейших производителей устройств Android и операторов беспроводной связи присоединились к ZHA.[12][17][31]

Смягчение

Определенный смягчение ошибки Stagefright существуют для устройств, на которых установлены неустановленные версии Android, включая отключение автоматического получения сообщений MMS и блокировку приема текстовые сообщения от неизвестных отправителей. Однако эти два средства защиты поддерживаются не во всех приложениях MMS ( Google Hangouts app, например, поддерживает только первое),[2][4] и они не охватывают все возможные векторы атаки которые делают возможным использование ошибки Stagefright другими способами, такими как открытие или загрузка вредоносного мультимедийного файла с помощью устройства веб-браузер.[7][32]

Сначала считалось, что дальнейшее смягчение может произойти за счет рандомизация разметки адресного пространства (ASLR) функция, представленная в Android 4.0 «Сэндвич с мороженым», полностью включен в Android 4.1 «Jelly Bean»;[7][33] Версия Android 5.1 «Леденец» включает исправления против ошибки Stagefright.[11][34]К сожалению, более поздние результаты и эксплойты вроде Метафора Обходные ASLR были обнаружены в 2016 году.

Начиная с Android 10, программные кодеки были перемещены в ограниченная песочница что эффективно снижает эту угрозу для устройств, способных работать с этой версией ОС.[7][35]

Смотрите также

Рекомендации

  1. ^ "Stagefright: все, что вам нужно знать о мегабаге Google Android".
  2. ^ а б c «Как защититься от уязвимости StageFright». zimperium.com. 30 июля 2015 г.. Получено 31 июля, 2015.
  3. ^ а б Рандл, Майкл (27 июля 2015 г.). "'Stagefright: ошибка Android - самая ужасная из обнаруженных'". Проводной. Получено 28 июля, 2015.
  4. ^ а б c d е Воан-Николс, Стивен Дж. (27 июля 2015 г.). «Stagefright: насколько это страшно для пользователей Android?». ZDNet. Получено 28 июля, 2015.
  5. ^ а б c Херн, Алекс (28 июля 2015 г.). "Stagefright: новая уязвимость Android, получившая название" heartbleed "для мобильных устройств'". Хранитель. Получено 29 июля, 2015.
  6. ^ а б c d «Эксперты нашли единорога в самом сердце Android». zimperium.com. 27 июля 2015 г.. Получено 28 июля, 2015.
  7. ^ а б c d Вассерманн, Гаррет (29 июля 2015 г.). «Примечание об уязвимости VU № 924951 - Android Stagefright содержит несколько уязвимостей». CERT. Получено 31 июля, 2015.
  8. ^ «Интерфейсы Android: СМИ». source.android.com. 8 мая 2015. Получено 28 июля, 2015.
  9. ^ "платформа / рамки / av: media / libstagefright". android.googlesource.com. 28 июля 2015 г.. Получено 31 июля, 2015.
  10. ^ Кумар, Мохит (27 июля 2015 г.). «Простое текстовое сообщение для удаленного взлома любого телефона Android». thehackernews.com. Получено 28 июля, 2015.
  11. ^ а б Хакетт, Роберт (28 июля 2015 г.). "Stagefright: все, что вам нужно знать о мегабаге Google Android". Удача. Получено 29 июля, 2015.
  12. ^ а б c "Stagefright: подробности об уязвимости, выпущен инструмент Stagefright Detector". zimperium.com. 5 августа 2015 г.. Получено 25 августа, 2015.
  13. ^ а б Грусковняк, Иордания; Портной, Аарон (13 августа 2015 г.). "Stagefright: миссия выполнена?". exodusintel.com. Получено 8 октября, 2015.
  14. ^ Томас Фокс-Брюстер (30 июля 2015 г.). "Русский" Zero Day "Hunter подготовил ошибки Android Stagefright для взлома одним текстом". Forbes. Получено 31 июля, 2015.
  15. ^ "Stagefright: Scary Code in the Heart of Android". blackhat.com. 21 августа 2015 г.. Получено 25 августа, 2015.
  16. ^ "Stagefright: Scary Code in the Heart of Android". defcon.org. 7 августа 2015 г.. Получено 25 августа, 2015.
  17. ^ а б «ZHA - ускоренное развертывание исправлений безопасности». zimperium.com. 1 августа 2015 г.. Получено 25 августа, 2015.
  18. ^ Джошуа Дж. Дрейк (5 мая 2015 г.). «Изменение Ie93b3038: запретить чтение после конца буфера в 3GPP». android-review.googlesource.com. Получено 25 августа, 2015.
  19. ^ Эрик Рэйвенскрафт (7 августа 2015 г.). «Детектор Stagefright определяет, уязвим ли ваш телефон для Stagefright». lifehacker.com. Получено 25 августа, 2015.
  20. ^ «CyanogenMod: последние проблемы с Stagefright». plus.google.com. 27 июля 2015 г.. Получено 28 июля, 2015.
  21. ^ Райан Уитвам (3 августа 2015 г.). «Galaxy Note 4 Sprint получает обновление Android 5.1.1 с исправлением уязвимости Stagefright». androidpolice.com. Получено 5 августа, 2015.
  22. ^ https://motorola-global-portal.custhelp.com/app/answers/prod_answer_detail/a_id/106654
  23. ^ «Переполнение буфера и чтение за пределами диапазона при анализе метаданных видео MP4». mozilla.org. 12 мая 2015. Получено 28 июля, 2015.
  24. ^ Томас Фокс-Брюстер (27 июля 2015 г.). "Stagefright: достаточно одного текста, чтобы взломать 950 миллионов телефонов Android". Forbes. Получено 28 июля, 2015.
  25. ^ "Больше Stagefright". www.cyanogenmod.org. 13 августа 2015 г. Архивировано с оригинал 13 августа 2015 г.. Получено 15 августа, 2015.
  26. ^ «Уязвимости Stagefright 2.0 затрагивают 1 миллиард устройств Android». угрозаpost.com. 1 октября 2015 г.. Получено 1 октября, 2015.
  27. ^ Джейми Лендино (27 июля 2015 г.). «950 миллионов телефонов подвержены риску использования текстового эксплойта Stagefright из-за фрагментации Android». extremetech.com. Получено 31 июля, 2015.
  28. ^ Джордан Минор (30 июля 2015 г.). "Там (почти) ничего не вы можете поделать с Stagefright". Журнал ПК. Получено 31 июля, 2015.
  29. ^ Купер Квинтин (31 июля 2015 г.). "StageFright: Android's Heart of Darkness". Фонд электронных рубежей. Получено 2 августа, 2015.
  30. ^ Фил Никинсон (27 июля 2015 г.). «Эксплойт« Stagefright »: что вам нужно знать». Android Central. Получено 29 июля, 2015.
  31. ^ Лучиан Армасу (6 августа 2015 г.). "Зимпериум выпускает детектор уязвимости Stagefright". Оборудование Тома. Получено 25 августа, 2015.
  32. ^ Джошуа Дрейк (5 августа 2015 г.). «Stagefright: страшный код в основе Android - исследование безопасности мультимедийной платформы Android» (PDF). blackhat.com. стр. 31–39. Получено 25 августа, 2015.
  33. ^ Джон Оберхейде (16 июля 2012 г.). "Использование средств защиты в Android Jelly Bean 4.1". duosecurity.com. Получено 31 июля, 2015.
  34. ^ Майкл Крайдер (28 июля 2015 г.). "Google обещает выпустить обновление безопасности Stagefright для устройств Nexus со следующей недели". androidpolice.com. Получено 31 июля, 2015.
  35. ^ Джефф Вандер Стоуп, команда безопасности и конфиденциальности Android, и Чонг Чжан, команда Android Media (9 мая 2019 г.). «Улучшения защиты очереди». android-developers.googleblog.com. Получено 25 сентября, 2019.CS1 maint: несколько имен: список авторов (связь)

внешняя ссылка