スマホ関連の海外ニュースです。
今週の Android のセキュリティ情報は、流通しているほぼすべてのデバイスを脅かされているアンドロイド生態系の脆弱性を示されている脆弱性の災難を修繕しました。 セキュリティ情報は、リモート コードが実行される可能性があるため、Google によって重要な評価 9 を含む 50 以上の脆弱性対処。上から、クアルコム チップのパッチ設定されていない Quadrooter の脆弱性だけでなく可能性があります jhead ライブラリの重要なバグを残りの 2 つを修正グーグルは単一の特別に細工された jpeg ファイルによって悪用されます。 Google の内部調査チーム、プロジェクト ・ ゼロ、スーツに続いた、水曜日、今週パッチが適用された Libutils の致命的な欠陥の詳細を開示。明らかに昨年 10 月、Stagefright バグの 2 番目のセットを思い起こさせるバグとも影響を与えるほとんどの人造人間デバイス使用で今日、確かに悪用することは困難であるが。Stagefright バグとアンドロイドで Mediaserver コンポーネントのような Libutils を呼び出す任意のアプリケーションが危険にさらさです。 「これは Stagefright 2.0 の脆弱性はコア ライブラリにあり、攻撃の方法の多くがあるような」プラットフォームの調査および Zimperium 研究所で開発担当副社長ジョシュア Drake 氏は述べた。「この 1 つは libstagefright を通過します。Stagefright バグじゃないが攻撃ベクトルは libstagefright”。 Google の研究者マーク ブランドは、欠陥と Mediaserver を中心とした概念実証の悪用の長い技術的な説明を発表しました。火のラインで他のアプリケーションには、system_server、drmserver、キーストア、Android 上の surfaceflinger が含まれます。 「基本的には、ライブラリを使用するアプリケーションは脆弱です。どれだけ多くのアプリケーションは既知とサービスは、このライブラリを使用して”セキュリティ研究スティーブ manzuik 氏のデュオの実験室ディレクターは言った。」がコンセプトの証明、Mediaserver が Stagefright のターゲットも当然あったバグを悪用する使用されます。それが表示されます (もちろんパッチが当たっていないデバイス) に対する搾取が ASLR をバイパスする必要がある現代の Android バージョンで、ややハード。 ブランドのレポートは、Libutils の影響を受けるコードが utf-16 と UTF-8 の間の変換であると言います。UTF-16 は、可能なすべての Unicode 文字をエンコードする 16 ビット Unicode 変換形式です。 「これは、影響を受けるコード パスには多くの異なる攻撃からアクセスとリモートでコードが実行と、高い特権を持つ system_server SE Linux ドメインにローカルの特権の昇格の両方利用できるのでの非常に深刻なバグは」、ブランドは言った。 ブランドは、彼は Libutils とバッファーの割り当てとオーバーフローのサイズを制御することができます utf-16 でしゃっくりを発見したと述べた。 Mediaserver、一方、彼は言った、脆弱性の悪用のための完璧な攻撃どこ Unicode 変換が処理された ID3 タグの処理に。ID3 タグはたとえば、曲のタイトル、アーティスト名、その他のメタデータなどのオーディオ ファイルの内容を記述する、mp3 ファイルで使用されます。 ドレイク「Stagefright ライブラリを使用すると、アクセスできます解析 ID3 をこのバグ”と述べた。「Stagefright は、バグを Unicode を使用して」。 ブランド理解の以前の仕事と生産、検証のための衝突を作成する彼を助けた Stagefright を利用します。ASLR とその他の対策をバイパスする-特にアンドロイド-N-大きな挑戦をした、彼は言った。 「多くの一般的な作業は N になっているし、結果が印象的。それはこのバグを悪用では不可能だった N – 完全なチェーンが大幅に複雑になると言うことは、”ブランドは言った。 初期の Stagefright 中 Mediaserver に深く掘るに拍車研究者を研究-ヶ月 Android のセキュリティ情報にが Mediasever に遠隔的なコード実行の脆弱性が含まれて-ドレイクは、Libutils の小さいコード ベースがバグ報告の別のラッシュを排除するものと考えています。 ドレイク「より多く、今なっていないそれの目の多くを得ていた人造人間コードがたくさんあると予見可能な将来ために報告されている重大な問題を参照してくださいするつもりが発生し続けている Android の報酬プログラムが大きくなると、思う」と述べた。
続きを読む…
Patched Android Libutils Vulnerability Harkens Back to Stagefright
This week’s Android Security Bulletin patched a calamity of vulnerabilities that threatened almost every device in circulation and illustrated the fragility of the Android ecosystem. The bulletin addressed more than 50 vulnerabilities, including nine rated critical by Google because of the possibility of remote code execution. Off the top, Google fixed the two remaining unpatched Quadrooter vulnerabilities in Qualcomm chips, as well as a critical bug in the jhead library that could exploited by a single specially crafted jpeg file.
Read more…
