Mais de 1.400 milhões de dispositivos Androids vulneráveis
O Android é o sistema operativo móvel mais popular do mundo. Cerca de 80% dos smartphones correm Android e daí este ser um também dos sistemas operativos móveis mais “apetecíveis” para explorar, no se que refere à segurança.
Depois de descoberta uma primeira vulnerabilidade na biblioteca Stagefright do Android, foi agora descoberto uma segunda vulnerabilidade na mesma biblioteca e que coloca em risco mais de 1.400 milhões de dispositivos em todo o mundo
De acordo com a empresa de segurança Zimperium zLabs, foi detectada uma nova vulnerabilidade no sistema operativo Android, que afecta mais de 1.4000 milhões de dispositivos em todo o mundo.
Esta vulnerabilidade (que na prática são dois bugs), já baptizada de Stagefright 2.0, pode ser facilmente explorada com um simples “preview” de um ficheiro MP3 ou MP4 previamente modificado e que permitirá a executação de comandos no sistema.
Meet Stagefright 2.0, a set of two vulnerabilities that manifest when processing specially crafted MP3 audio or MP4 video files. The first vulnerability (in libutils) impacts almost every Android device since version 1.0 released in 2008. We found methods to trigger that vulnerability in devices running version 5.0 and up using the second vulnerability (in libstagefright). Google assigned CVE-2015-6602 to vulnerability in libutils. We plan to share CVE information for the second vulnerability as soon as it is available.
Como é que pode ser atacado?
A vulnerabilidade reside no processamento de metadados associados aos ficheiros MP3/MP4 modificados. Basicamente o atacante tentará convencer o utilizador a visitar um determinado site (que é controlado pelo próprio atacante) e a descarregar um ficheiro infectado (que também poderá chegar por e-mail).
Depois do utilizador executar o mesmo ou simplesmente fazer o preview, são despoletadas um conjunto de acções que comprometem o sistema.
A Google já tem conhecimento de tal vulnerabilidade e segundo a informação da Zimperium a empresa das pesquisas foi notificada em 15 de Agosto.
Fonte: Zimperium zLabs via Motherboard