Уязвимость пятилетней давности подвергает миллионы владельцев Android-устройств риску утечки данных

Исследователи подразделения FireEye Mandiant Red Team  раскрыли подробности уязвимости CVE-2016-2060, прежде всего затрагивающей сотни моделей Android-устройств на базе чипсета Qualcomm. Эксплуатация данной ошибки позволяет злоумышленникам повысить привилегии на системе и получить доступ к интернету, SMS-сообщениям, журналам телефонных звонков и пр. Устройства Google Nexus проблеме не подвержены.

Наиболее уязвимыми являются гаджеты под управлением Android Lollipop (5.0), KitKat (4.4), Jellybean MR2 (4.3) и Ice Cream Sandwich MR1 (4.0.3). В марте нынешнего года Qualcomm выпустила патч с исправлением, однако Android-устройства все еще находятся под угрозой, пока производители не выпустят соответствующее обновление для своих продуктов.

Проблема содержалась в Qualcomm Tethering Controller и возникла из-за ошибки в API от Qualcomm. Как отмечают исследователи, уязвимость существует с 2011 года. Учитывая, что уязвимое ПО Qualcomm используется в различных проектах, в том числе CyanogenMod (форк Android), определить точное число подверженных проблеме устройств не представляется возможным.

Успешная эксплуатация ошибки возможна двумя способами. Первый предполагает физический доступ к уязвимому устройству, второй – использование вредоносного приложения, которое жертва должна загрузить и запустить на гаджете. Причем подобная программа не будет детектироваться антивирусными продуктами как вредоносное, поскольку оно требует разрешения, обычно запрашиваемые и одобренные по умолчанию для миллионов приложений. Более того, скорее всего, такое приложение пройдет все проверки Google Play Store, отмечают эксперты.

Напомним, на этой неделе Google выпустила ряд обновлений, исправляющих 40 уязвимостей в ОС Android.