Uma nova reviravolta na falha do Stagefright - que ganhou fama como uma vulnerabilidade do Android no ano passado - está em cena e poderia fazer com que os usuários do sistema operacional móvel do Google sofressem bastante..

O exploit, que tem o nome de Metáfora, foi revelado pela Northbit, uma consultoria de segurança israelense, e poderia ser usado contra milhões de celulares Android em todo o mundo..

O exploit pode ser usado contra dispositivos que executam versões do Android 2.2 a 4.0, e também Android 5.0 e 5.1 (Lollipop). Em relação a este último, é inteligente o suficiente para ignorar o ASLR (Address Space Layout Randomisation - uma medida defensiva de proteção de memória).

Como Northbit observa, foi alegado que o Stagefright era impraticável para explorar na natureza devido a mitigações embutidas nas versões mais novas do Android, cujo principal pilar é o ASLR. Mas parece que essas defesas não são tão impermeáveis ​​quanto as pessoas poderiam acreditar.

Nexus nobbled

A Northbit publicou uma pesquisa detalhando o exploit, e também um vídeo mostrando que ela está sendo usada para comprometer um smartphone Nexus 5 com Android 5.0.1, com o usuário na demonstração sendo acertado simplesmente sendo atraído para clicar em um link para a exploração. site carregado.

Aparentemente, a empresa de segurança também alavancou com sucesso a falha contra os aparelhos LG G3, HTC One e Samsung Galaxy S5 (embora pequenas modificações fossem necessárias para atingir diferentes telefones).

Em seu artigo, Northbit concluiu: "Esta pesquisa mostra que a exploração desta vulnerabilidade é viável. Mesmo que uma exploração universal sem conhecimento prévio não tenha sido alcançada, porque é necessário construir tabelas de pesquisa por ROM, ficou provado que é prático explorá-la. o selvagem."

Chris Eng, vice-presidente de pesquisa da Veracode, comentou a questão: "Com a descoberta da vulnerabilidade da 'Metáfora', 2016 é o terceiro ano consecutivo em que foi descoberta uma séria exploração de aplicativo que poderia afetar milhões de dispositivos.

"Corrigir as vulnerabilidades dos aplicativos é especialmente desafiador para a comunidade Android com o número de fabricantes e operadoras diferentes responsáveis ​​pela emissão de patches para os dispositivos. Como acontece com o Stagefright, prevemos que o Google será rápido em lançar um patch para resolver esse problema. , esperamos que não vejamos uma repetição do Stagefright 2.0 em que muitos dos patches não foram lançados para os usuários finais. "

De fato, vamos esperar que uma ação seja tomada imediatamente e, enquanto isso, se você (ou seus funcionários) usarem um dispositivo Android, talvez valha a pena tomar um cuidado extra ao clicar em links. Embora atualmente, a vigilância é uma necessidade constante quando se trata de links (e anexos).

Via: com fio

  • Confira também: Atualização do Android 6 Marshmallow: quando posso obtê-lo?