С помощью неустранимой уязвимости можно шпионить за любым Android-смартфоном

Зияющая дыра безопасности в нескольких поколениях ОС Android Новая уязвимость CVE-2018-9489, обнаруженная в операционной системе Android, позволяет приложениям игнорировать и обходить запреты на доступ и передачу системной информации. Об этом сообщила компания Nightwatch Cybersecurity, чьи специалисты впервые обнаружившие и описавшие эту уязвимость. По данным Nightwatch Cybersecurity, уязвимость позволяет злоумышленникам через параметры WifiManager’s NETWORK_STATE_CHANGED_ACTION и WifiP2pManager’s WIFI_P2P_THIS_DEVICE_CHANGED_ACTION получить несанкционированный доступ к таким данным пользователя, как используемое устройством имя сети Wi-Fi, базовый сетевой идентификатор BSSID, MAC-адрес устройства, а также информацию о DNS-сервере и локальные IP-адреса. «Системные трансляции с ОС Android предоставляют информацию об устройстве пользователя всем запущенным приложениям, включая имя сети Wi-Fi, BSSID, локальные IP-адреса, информацию DNS-сервера и MAC-адрес. К части этой информации (MAC-адрес) доступ через API перекрыт начиная с Android 6 и выше, для доступа к остальной части информации обычно требуются дополнительные разрешения. Тем не менее, перехватывая системные сообщения, любое приложение на устройстве может получить эту информацию, минуя тем самым любые запреты и проверки разрешений доступа». – отметили аналитики Nightwatch Cybersecurity. Решения проблемы не будет Проблема с уязвимостью актуальна не только для различных версий Android, но также операционных систем – клонов на ее основе, например, Amazon FireOS для «читалок» Kindle. Обладая доступам к пулу этих данных, любой желающий с помощью предустановленных приложений может отслеживать перемещения пользователя смартфона. Кроме того, злоумышленники могут воспользоваться данными утечки для совершения атаки на сеть Wi-Fi с риском взлома и доступа всех устройств в этой сети.

Скриншоты с разрешениями приложений в Google Play Как сообщили аналитики Nightwatch Cybersecurity, в Google знают об этой уязвимости и уже закрыли ее в новейшей версии операционной системы Android 9.0 Pie. Настоящая проблема заключается в том, что на сегодняшний день обновление до Android 9.0 готово лишь менее чем для 0,1% от всего мирового парка Android-смартфонов. Для многих смартфонов, особенно на старых версиях ОС, выпуск обновления до новейшей версии ОС и вовсе не планируется. Что делать? Наиболее неприятным фактом стало то, что Google не планирует закрывать уязвимость CVE-2018-9489 в старых версиях своей мобильной операционной системы, поскольку устранение уязвимости «будет нарушением API-интерфейса», отметили в Nightwatch Cybersecurity. Всем пользователям смартфонов и других гаджетов со старыми версиями ОС Android аналитики Nightwatch Cybersecurity настоятельно рекомендуют воздерживаться от загрузки каких-либо неофициальных или подозрительных приложений, которые могли бы использовать обнаруженную уязвимость против пользователя. Ссылка на источник