Domov      Nastavenia 
RSS English Slovensky

Aktuálne
Zahraničné zdroje
Nahlásené incidenty
1.1.2019 - 31.12.2019
 

Graf

Kritická "zero-click" zraniteľnosť Samsung v systéme Android verzie 8, 9 a 10

13.05.2020
V OS Android používanom spoločnosťou Samsung bola objavená kritická bezpečnostná chyba súvisiaca so spracovaním obrázkového formátu Qmage, ktorá umožňuje úplnú kompromitáciu zariadenia pomocou MMS správ. Jej zneužitie nevyžaduje od obete žiadnu interakciu.

 

Dôsledky

  • Vzdialené vykonávanie kódu
  • Kompromitácia zariadenia bez potreby interakcie obete

Opis činnosti
CVE-2020-8899

Vo verziách operačného systému Android 8 (Oreo), 9 (Pie) a 10 (Android Q) na zariadeniach Samsung bola nájdená kritická bezpečnostná zraniteľnosť, ktorá sa nachádza v knižnici Quram. Táto spracováva obrazový formát Qmage (.qmg), ktorý zariadenia Samsung podporujú od roku 2014. Zraniteľnosť súvisí s pretečením medzipamäte haldy v obrazovom kodeku Quram.

Útočník najskôr musí lokalizovať v pamäti zariadenia knižnicu „Skia“, čo je open-source grafická knižnica poskytujúca API na automatické spracovanie prichádzajúcich obrázkov. To útočník docieli opakovaným posielaním MMS. Uhádnuť umiestnenie knižnice „Skia“ v pamäti je nevyhnutné pre obídenie bezpečnostného prvku randomizovania využitia pamäte ASLR. Po určení umiestnenia knižnice Skia doručí MMS správa škodlivý kód uložený v obrázku formátu .qmg. Zariadenie je následne kompromitované bez akéhokoľvek pričinenia majiteľa, keďže súbor automaticky preberie a spracuje predinštalovaná aplikácia „Správy“, ktorá s ním narába, aby pripravila používateľovi napríklad náhľad doručenej správy.

Pre obídenie zabezpečenia ASLR je potrebných 50 – 300 MMS, čo môže trvať približne 100 minút. Po kompromitácii zariadenia dokáže útočník nepozorovane vykonávať kód, čo mu umožní prehliadať a ovládať zariadenie.

Zraniteľnosť postihuje všetky zariadenia Samsung vyrobené od roku 2014. Objavil ju výskumník tímu Google Project Zero, Mateusz Jurczyk.

Zraniteľné systémy
Android verzia 8,9,10 s grafickou nadstavbou Samsung

Závažnosť zraniteľnosti
Vysoká

Možné škody
Vzdialené vykonávanie kódu

Odporúčania
Bezodkladná aktualizácia zraniteľného zariadenia

Odkazy
https://www.zdnet.com/article/samsung-patches-0-click-vulnerability-impacting-all-smartphones-sold-since-2014/
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-8899
https://vuldb.com/?id.154841



<< zoznam oznámení