Zero-Day Vulnerability

Доказательство того, что уязвимость активно используется, было сообщено командой Google Project Zero.

Arstechnica отмечает, что злоумышленники могут использовать эксплойт двумя различными способами.

Есть свидетельства того, что уязвимость активно эксплуатируется либо разработчиком NSO Group (израильская технологическая фирма, специализирующаяся на киберразведке), либо одним из её клиентов, заявила член Project Zero Мэдди Стоун. Эксплойты требуют минимальной настройки или вообще не требуют настройки для полного рутирования уязвимых телефонов. Уязвимость может быть использована двумя способами: (1) когда цель устанавливает ненадежное приложение или (2) для сетевых атак, комбинируя эксплойт со вторым эксплойтом, нацеленным на уязвимость в коде, который браузер Chrome использует для визуализации контента.

«Ошибка - локальная уязвимость, приводящая к повышению привилегий, которая допускает полный взлом уязвимого устройства», - пишет Стоун. «Если эксплойт доставляется через Интернет, его необходимо связать только с эксплойтом рендерера, так как эта уязвимость доступна через песочницу».

Список устройств Android, которые, как известно, уязвимы на данный момент:

• Pixel 1
• Pixel 1 XL
• Pixel 2
• Pixel 2 XL
• Huawei P20
• Xiaomi Redmi 5A
• Xiaomi Redmi Note 5
• Xiaomi A1
• Oppo A3
• Moto Z3
• Oreo LG phones
• Samsung S7
• Samsung S8
• Samsung S9

В прошлом, NSO была в состоянии использовать подобные уязвимости, чтобы получить полный контроль над телефонами Android, чтобы не только получить доступ к личным данным, таким как содержимое сообщений, но даже превратить телефон в устройство, вызывающее ошибки.

Стоун сказала, что информация, которую она получила от Google’s Threat Analysis Group, указала, что эксплойт «предположительно используется или продается NSO Group», разработчиком эксплойтов, которые он продает различным правительственным организациям. Израильская NSO привлекла широкое внимание благодаря открытиям в 2016 и 2017 годах усовершенствованного разработанного им мобильного шпионского ПО под названием Pegasus. Он делает джейлбрейк или рутирует телефоны как на iOS, так и на Android, так что он может перелистывать личные сообщения, активировать микрофон, камеру и собирать все виды другой конфиденциальной информации.

Project Zero обычно дает компаниям 90 дней на устранение уязвимости перед её раскрытием, но сокращает её до семи дней, когда есть доказательства того, что эксплойты уже используются в открытом доступе. Google говорит, что исправит проблему для моделей Pixel 1 и 2 в ближайшие несколько дней и что на Pixel 3 и 3a это не повлияет. 

Если у вас есть один из уязвимых телефонов, убедитесь, что вы установили обновление безопасности Android за октябрь, как только оно станет доступно.

Источник - 9TO5Google