6/8/2015
O podatności która dotyczy 950 milionów Androidów pisaliśmy w poprzednim tygodniu. Teraz firma, która ją wykryła udostępniła narzędzie sprawdzające, czy dany telefon jest podatny. Dodakowo, firma ujawniła kilkanaście innych błędów w bibliotece Stagefright i udostępniła na nie patche. Link do aplikacji testowej tu.
Od jednego z naszych czytelników wiemy też, że niemiecki operator GSM zdecydował się zablokować swoim użytkownikom MMS-y w obawie przed atakami z wykorzystaniem tej podatności.
Czy jest jakiś mod, który zapewnia wieczny upgrade bez przeinstalowania do nowej wersji, coś w stylu dystrybucji rolling na Linuksie, i który zapewnia poprawki bezpieczeństwa w miarę szybko?
CyanogenMod zapewnia aktualizacje OTA.
Ale nie na wszystkich urządzeniach przejdzie flashowanie kernela w trybie OTA bez pełnego odblokowania (np. HTC mają tryb S-OFF – daje więcej niż odblokowanie bootloadera).
Wszystko zależy od popularności urządzenia.
Ale z takich częściej spotykanych na różne urządzenia można wymienić np Dirty Unicorn i Paranoid Android.
No i oczywiście Cyanogen Mod.
Mam CyanogenMod a i tak Vulnerable… czy trzeba coś zmienić w ustawieniach żeby się zaktualizował?
@Jarek przeczytaj ten komentarz:
https://niebezpiecznik.pl/post/950-milionow-telefonow-z-androidem-mozna-zhackowac-jednym-mms-em/?similarpost#comment-538989
Ale ja tego nie sprawdzałem, więc popytaj na forum CM
Ja mam CM12 20150726 nightly i jest OK.
Poprawka – mam CM12.1 :)
Vulnerable… jak żyć?
Na moim wiekowym telefonie z androidem 2.3 po wciśnięciu “Begin Analysis” wywala “error initializing the application, please try again”.
2.3.7 – tak, jak u El – potwierdzam.
Vulnerable.. Trzeba w końcu się przerzucić na MIUI :/
Są już płatne aplikacje łatające podatnośc. Ktoś się odważy? :>
Ten tester jest dość podejrzany. Wydany przez firmę mającą 3 apki, wszystkie jednakowe, w dodatku lista wymaganych uprawnień jest ogromna – dostęp do sieci? Konta systemowe? Uprawnienia zapisu i odczytu plików w pamięci zewnętrznej? Wygląda że apka zbiera dane użytkownika (wizytówkę “ja” + listę kont) i przesyła, bo po co jej dostęp do internetu? O.o
Aż dziwne że Niebiezpiecznik o niej wspomina bo ta pozycja to secfail w czystej postaci. Autorzy nawet nie próbują przedstawić – po co im te uprawnienia.
Dużo lepszą alternatywą jest detektor przygotowany przez Lookout security – nie wymaga ŻADNYCH uprawnień (zgodnie z oczekiwaniami).
ta “firma mająca 3 apki” jest odpowiedzialna za znalezienie tej luki i poinformowanie o niej opinii publicznej
Ale dostaniemy jakieś faktyczne rozwiązanie dla tych, którzy nie chcą całego systemu przeinstalowywać, jakieś pliki w systemie należy edytować czy co?
Android 5.1.1 na SGS3 – i jestem bezpieczny :D
Dzisiaj wyszła poprawka dla wszystkich Nexusów (5.1.1), która podobno usuwa problem.
Wyłączcie AUTOPOBIERANIE MMS w aplikacji do SMS/MMS i po sprawie, jeśli dostaniecie podejrzaną wiadomość od nieznanej wam osoby z załączonym wideo po prostu nie pobierać.
Powtórzyć 100 razy, to widać że za mało. MMS TO JEDEN Z WEKT
ORÓW ATAKU.
lol, popsułem komcia.
Można też edytować plik systemowy: build.prop
media.stagefright.enable-player=false
media.stagefright.enable-meta=false
media.stagefright.enable-scan=false
media.stagefright.enable-http=false
media.stagefright.enable-rtsp=false
media.stagefright.enable-record=false
Czym ten plik edytować? Mi się pokazuje “No application found for this file type’.
Czy bezpiecznie będzie użyć appki Build Prop Editor? Mam zrootowany telefon Framaroot i używam Astro file manager do przeglądania plików. Ciągle jestem laikiem w kwestii Androida, więc proszę o jakieś instrukcje.
Poza tym czy ten exploit i tak sobie nie zmieni tych wpisów?
@zP12
Zmień nazwę, dodając np. rozszerzenie .txt, edytuj po ludzku, zmień nazwę na starą.
Prosta skuteczna metoda.
Na początek warto zablokować automatyczne pobieranie MMSów to utrudnia możliwość ataku.
Hmm, a te ich patche są bezpieczne? Ktoś je instalował?
LG G3 D855 – Exodus 5.1-20150805 – Not vulnerable
4.4.4 na Moto E dziurawy – czy nowsze romy od Motoroli są załatane, względnie coś od społeczności? :)
5.0.2 na Moto G2 nie jest, a jako ze zapowiedzieli upgrade do M to raczej nie ma sie co spodziewac, ze w miedzyczasie zrobia do 5.1.1
Pomyślałem o tym samym, szkoda tylko, że po fakcie jak już zainstalowałem…
HTC M8 vulnerable.
Jest jeszcze Stagefright Detector App by Zimperium INC.
Podczas instalacji nie żąda tylu uprawnień, a producent to nie jakaś firma xszak.
Można pobrać stąd:
https://play.google.com/store/apps/details?id=com.zimperium.stagefrightdetector
Niestety po uruchomieniu tego programiku na moim Szajsungu pojawił się piękny czerwony paseczek Vulnerable…
Co robić, jak żyć?
Odpowiedź prosta, wyłączyć prąd, a urządzenie z Androidem schować do klatki Fradaya i poczekać aż bateria sama się rozładuje. A zamiast wysyłać MMSy kupić jednorazowy aparat fotograficzny z kliszą i odbitkę wysłać gołębiem (chyba, że gołąb ma obrożę monitorującą z Androidem na pokładzie :-)
Przecież podlinkowana przez nas aplikacja do sprawdzenia to jest DOKŁADNIE ta aplikacja od Zimperium…
Upps, faktycznie :-)
Warto przeczytać na poniższym blogu, jak zablokować automatyczne otwieranie MMSów:
https://blog.lookout.com/blog/2015/07/28/stagefright/
Oczywiście nie jest to rozwiązanie problemu, a jedynie zmniejszenie ryzyka infekcji bez udziału użytkownika, bo użyszkodnik i tak może sobie sam ręcznie otworzyć trefnego MMSa lub trefne multimedia w przeglądarce.
Nowe zagrożenie: Certifi-gate
http://www.engadget.com/2015/08/06/android-certifigate/
U mnie jest dziwna sprawa… Tylko dwie luki pokazują się jako niezałatane, a reszta jako załatane. Czyżby dlatego, że w aktualizacji którą dostałem w czerwcu umieszczono już trochę fixów?
Z1 – vuln CVE-2015-3829/3827/1538. 3828/1539/3824 załatane.
Not Vulnerable jak można było się spodziewać :) CM12.1 nightly rox :)
A ja zainstalowalem ten detector podatnosci i mi wyswietla ze nie mozna go uruchomic :) dlacaego ? samsung s2 mini