Kaj morate vedeti o stagefright 2.0

Preteklih nekaj mesecev je bilo napolnjenih z veliko negotovostjo glede številnih izdaj, ki jih je popularno poimenoval Stagefright, ime si je prislužilo, ker je večina odkritih težav povezana z libstagefright v Androidu. Varnostno podjetje Zimperium je objavilo, kar imenujejo Stagefright 2.0, z dvema novima izdajama datotek MP3 in mp4, ki ju je mogoče manipulirati za izvajanje zlonamerne kode na vašem telefonu.

Tukaj je nekaj, kar vemo doslej, in kako se zavarovati.

Kaj je Stagefright 2.0?

Po besedah ​​Zimperiuma je par nedavno odkritih ranljivosti napadalcu omogočil predstavitev telefona ali tabličnega računalnika Android z datoteko, ki je videti v obliki MP3 ali MP4, zato je metapodatke za to datoteko predogled v OS, ki bi jo lahko izvedla datoteka zlonamerna koda. V primeru napada človeka na Srednjem ali spletnega mesta, izdelanega posebej za pošiljanje teh nepravilno oblikovanih datotek, bi lahko to kodo izvedli, ne da bi uporabnik kdaj vedel.

Zimperium trdi, da je potrdil oddaljeno izvedbo, in na to je opozoril Googlova 15. avgusta. Google je v odgovor na težave poročil CVE-2015-3876 in CVE-2015-6602 in poročil o težavah.

Ali je prizadet moj telefon ali tablični računalnik?

Na tak ali drugačen način da. CVE-2015-6602 se nanaša na ranljivost libutils, in kot opozarja Zimperium v ​​svojem postu, ki navaja odkritje te ranljivosti, vpliva na vsak Android telefon in tablični računalnik, ki sega vse do Android 1.0. CVE-2015-3876 vpliva na vsak Android 5.0 ali višji telefon ali tablični računalnik in bi ga teoretično lahko posredoval prek spletnega mesta ali človeka v srednjem napadu.

VEDNO.

Trenutno ni nobenih javnih primerov te ranljivosti, ki so bili kdaj uporabljeni za izkoriščanje česar koli izven laboratorijskih pogojev, in Zimperium ne namerava deliti dokazov o izkoriščanju dokazil, ki so jih uporabili za prikaz te težave Googlu. Čeprav je mogoče, da bi to izkoristil nekdo drug, preden Google izda popravek, podrobnosti o tem izkoriščanju še vedno ostanejo zasebne, je malo verjetno.

Kaj Google počne glede tega?

Glede na Googlovo izjavo, oktobrska varnostna posodobitev obravnava obe ranljivosti. Ti popravki bodo izdelani v AOSP in bodo predstavljeni uporabnikom Nexusa od 5. oktobra dalje. Bralci Eagleovih oči so morda opazili Nexus 5X in Nexus 6P, ki smo si jih ogledali, pred kratkim je bila že nameščena posodobitev 5. oktobra, tako da če boste predhodno naročili enega od teh telefonov, bo vaša strojna oprema zakrpljena pred temi ranljivostmi. Dodatne informacije o popravku bodo 5. oktobra v Googlovi skupini Android Security.

Kar zadeva telefone, ki niso Nexus, je Google 10. septembra zagotovil varnostno posodobitev partnerjem in sodeloval s proizvajalci originalne opreme in operaterji, da bi posodobitev dostavil v najkrajšem možnem času. Če si ogledate seznam naprav, zakrpanih v zadnjem izkoriščanju Stagefright, ste dobili razumno sliko, kakšna strojna oprema je v tem postopku prednostna naloga.

Kako ostanem na varnem, dokler ne pride obliž za telefon ali tablični računalnik?

V primeru, da nekdo res teka naokoli z izkoriščanjem Stagefright 2.0 in poskuša okužiti uporabnike Androida, kar je zaradi pomanjkanja javnih podrobnosti spet zelo malo verjetno, je ključ do tega, da ostanete na varnem, vse povezano s pozornostjo, kje ste. brskalnik in s čim ste povezani.

Kadar koli se lahko izogibajte javnim omrežjem, se zanašajte na dvofaktorsko avtentikacijo, kadar koli je to mogoče, in se držite čim dlje od senčnih spletnih mest. Večinoma zdravorazumske spletne stvari za varovanje.

Je to konec sveta?

Niti malo. Čeprav so vse ranljivosti Stagefright resne in jih je treba obravnavati kot take, je komunikacija med Zimperiumom in Googlom za zagotovitev čim hitrejšega reševanja teh vprašanj fantastična. Zimperium je upravičeno opozoril na težave z Androidom in Google je stopil v odpravo. V popolnem svetu te ranljivosti ne bi obstajale, vendar se kljub temu pojavljajo in se jih hitro rešujejo. Ne morem zahtevati veliko več kot to, glede na situacijo, v kateri smo.