Злонамерени лица могат не само да изпълнят произволна команда, но също така да извлекат защитени данни, вкл. кодирани, от Android устройствата
Новооткрита уязвимост в ядрото на Linux може да се използва злонамерено за изпълнение на команди с root права, съобщи ZDNet. Кодът, който експлоатира тази уязвимост, присъства в повечето съвременни устройства на база Android.
Първи за проблема съобщиха миналата седмица експерти от израелската фирма Perception Point. Тя публикува код за експлоатиране на уязвимостта и описа основните способи за подсигуряване на системата.
Уязвимостта съществува от 2012 г. и засяга всички версии на Linux ядрото, започвайки от 3.8, както и Android KitKat 4.4 и по-късните версии на платформата на Google. Злонамерени лица могат не само да изпълнят произволна команда, но също така да извлекат защитени данни, вкл. кодирани.
Red Hat, Canonical и още няколко компании вече пуснаха обновления на сигурността за своите Linux дистрибуции, които затварят дупката. В близките месеци се очаква и обновление за Android, но много устройства получават ъпдейтите не пряко от сървърите на Google, а от мобилните оператори, което води до съществено забавяне.
До момента няма постъпили сигнали, че въпросната уязвимост е използвана за взлом на Andrpoid устройства от страна на хакери или разпространители на вируси.
Saevar,
За CVE-2016-0728 трябва да си на машината, факт. Но, можеш да си с произволен акаунт.
За пълна атака ти трябва:
1. Да доставиш байнарито на машината. Примерно, web browser (за потребители), file upload (web services). Има и тонове други начини да ги излъжеш.
2. Да накараш машината да изпълни някакъв код, независимо с какъв потребител.
3. Ескалация на правата (privilege escalation), т.е. CVE-2016-0728, прави те root.
Linux получава корекциите бързо, в рамките на дни. Обаче 90% от Android устройствата НЕ получават ВЪОБЩЕ. Затова цялата статия е насочена към Android, не към Linux. Това го пиша за N-ти път вече.
Сега, към болното куче, което се е писало с псевдонима “нищо ново”:
Пишеш толкова безобразно неграмотно, че останалите в дискусията, без Хъ, изглеждаме като професори по Българска филология.
Не само не си противореча, но и съм единственият в “дискусията”, който има ясно изразена и аргументирана позиция.
За сравнение, Saevar тръгна от “тоя е фикснат часове след като е открит exploita”, мина през “иска GCC и dev пакети” и накрая стигна до “трябва да се изпълни локално”. Но, всичко това е свързано с Linux, не с Android.
ОК ясно е че ти говориш като програмист а моята гледна то4ка е като секюрити спец и че това неможе да се подкара през нета тоест трябва да си локално там….. на място…..
Анонимусе, първо, иди на лекар, че имаш остра проява на деменция: не помниш какво си казал, противоречиш си, не умееш да си групираш текста в абзаци и мисълта ти е разхвърляна и непоследователна… а да, и се мислиш за всестранно развит, без дори да подозираш за човека отсреща… ахахаха Въобще пълно въплъщение на съвременните „програмисти“, хихихи работещи без принципи и мятащи кодове и съвети наляво и надясно. Къде по дяволите отидоха инженерите на това място.
Ти си поредният отпадък, заради който скапаната ни държава е на това равнище.
Така че първо иди на преглед, може и безплатна липосукция да ти направят като те съжалят.
А за второто… като се върнеш от експертизата.
Хахаха, saevarе, вярно ли ще дадеш връзка към Github и ще се чудиш защо хората обсъждат GCC и dev пакет?!
Обяснявам като за идиоти:
изходен код —компилатор–> изпълними (двоични) файлове
т.е. компилаторът чете изходния код и пише изпълними файлове.
Популярните Linux дистрибуции разпространяват директно двоични файлове. По същия начин се разпространява и malware, троянци, вируси и прочее – директно компилирани и готови за “ползване”.
Казано по друг начин:
Когато ти дадат изходен код, няма как да минеш без GCC/компилатор. Когато ти дадат директно изпълними файлове, нямаш нужда от компилатор. Точно толкова просто е.
Saevarчо, че си грандоман, личи отдалеч. Но, се оказа, че си и абсолютно неграмотен.
Perception Point са публикували изходния код, не байнари. Естествено, че ако искаш да го подкараш, ще ти трябва GCC, за да компилираш.
Не мога, обаче, да си представя колко трябва да си тъп, за да не направиш връзката, че щом Canonical могат да ги пратят предварително компилирани байнарита, значи и вирусът може да пристигне при теб директно като байнари.
Да, за добра атака ще трябва вирусчето да бъде компилирано 100-200 пъти (за различни дистрибуции и версии на ядрото). После с различни трикове, примерно user agent string на браузъра, да се разпознава кое байнари на кого да се прати. Но, тоя процес отдавна е автоматизиран от хората, които се занимават да правят bot nets.
Та, ша ма проща’аш, че така. От 25 години съм в бранша и не пиша глупости.
Необходимост от GCC има само и единствено ако самият GCC съдържа уязвимостта, която ще бъде атакувана. CVE-2016-0728 е в ЯДРОТО, не в gcc.
до кауна с ник Anonymous ето ти линк да видиш 4е ти трябва ц компилатора:
“https://gist.github.com/PerceptionPointTeam/18b1e86d1c0f8531ff8f” ина4е нестава да използваш експлойта, обърни внимание на 1 от коментаторите който ти казва 4е ти трябва “For ubuntu/debian install libkeyutils-dev” ….. деба големите му разбиратели деба…
Canonical пуснаха кръпката часове след като беше достъпна. Т.е. 120 часа след като уязвимостта беше открита.
Проблемът не са 120 часа. Където са 5, там са и 120. А е месец или година по-късно, тогава е проблем.
Не мога да разбера какво се опитваш да докажеш, Бирславе/Хъ с тия “няколко часа”. Май просто си патологичен случай, а?
Canonical я (кръпката) пусна часове след откриването на уязвимостта…
Хъкчо-мъкчо, в сериозна грешчица си 🙂
Погледни първото мнение по темата, даден е URL на публикацията 14 Януари 2016г. Patch-ът е от 19 Януари.
Вярно, че тия 5 дни можеш да ги броиш и в часове, 120 за да сме точни 😀
Не съм тръгнал да заплювам Linux като OS и не знам какво си се разпенявил на темата.
Статията, обаче, е относно Андроид. Системата, която държи 80% от пазара според едни често цитирани статистики.
Да не би да твърдиш, че 80% от потребителите на смартфони са технически грамотни и компетентни за да знаят какво да свалят и какво не? Да, бе, да! Ей с’я! Всички ти пов?рвахме 😀
Този exploit спокойно може да се комбинира с някоя грешчица я в WebKit, я в Chrome. Това пакетирано като реклама бая “професионалисти” като теб ще излови. Ако не ти е ясно как работи, чети за Malvertising 🙂
Въобще, става ми все по-смешно и по-смешно какви разбирачи сте взели да се въдите. А, сте най-големите шарани по кукичките.
Анонимусчо, кръпката идва автоматично или по-точно дойде автоматично часове след като беше открита уязвимостта. Относно устройствата с Андроид: хората, които ще ползват телефон, който няма обновления или хората които изобщо не се интересуват от обновления са онези, които знаят какво правят и избират коя програма да инсталират (т.е. да се изпълни някакъв код изискващ администраторски права) се броят на пръсти. Масово хората си сменят телефоните през месеци и все гледат да са нови моделчета, ще си получат ъпдейта, не се притеснявай.
Видели някаква уязвимост в Линукс ядрото и като невидели лешояди се нахвърлят, ахахаха. Да не забравяме, че софтуера се пише от хора, а хората грешат. Няма съвършен софтуер, просто има правилно поддържан и с отговорност софтуер и такъв който нехайно се размята в лицата на хората.
@Програмист:
Баш си е така… Па е и бозичка, прав си!
в тая рядка бозичка ставам роот със затворени очички
Saevarчо, поправката за CVE-2016-0728 все още не е достъпна през автоматичните системи за обновяване на голяма част от Linux дистрибуциите, т.е. в следващите няколко дни се налага на ръка да се прилага.
Второ, проблемът е в ядрото, няма общо с GCC и не е нужно да има GCC на системата.
Трето, статията изключително коректно споменава конкретно Android, не всички Linux дистрибуции. Причината е, че Android телефоните, които получават съществени обновявания се броят на пръсти. Най-вероятно 97% от устройствата никога няма да получат тази кръпка.
закъсняхте с новината вече има кръпка за това, трябва да имаш инсталиран gcc c compiler за да се задеиства тоя експлоит или с няколко думи потребител които има инсталиран Линукс ОС и некомпилира сам програми го няма инсталиран и следователно може да си цъка на воля без да се притеснява.
За тази уязвимост даже има упътване стъпка-по-стъпка как се използва:
“http://perception-point.io/2016/01/14/analysis-and-exploitation-of-a-linux-kernel-vulnerability-cve-2016-0728/”