Уязвимость Samsung подвергает миллионы пользователей риску потери данных

 

Уязвимость Samsung подвергает миллионы пользователей риску потери данных

Если у вас есть телефон Samsung, скорее всего, вы также являетесь – сознательно или нет – владельцем приложения «Найти телефон», которое позволяет найти или стереть потерянное оборудование. Как оказалось, это приложение много лет страдает от серьезной, ранее неизвестной проблемы безопасности.

Ситуация подробно обсуждалась португальской группой Char49 на конференции DEF CON на прошлой неделе. Однако теперь отчет также попал в Интернет.

«Эта ошибка, при правильной настройке, может быть легко использована и иметь серьезные последствия для пользователя и потенциально катастрофические последствия в целом», – пишет один исследователь, Педро Умбелино. Среди возможных инцидентов он упоминает, среди прочего: полную блокировку телефона, потерю данных с восстановлением заводских настроек, доступ к журналу вызовов и SMS, чтение номера IMEI или отслеживание местоположения.

Вредность ошибки подтверждена на нескольких разных моделях смартфонов, включая флагманские Galaxy S9 +, S8 и S7. По общему признанию, компания Samsung уже выпустила соответствующие патчи, поэтому теоретически угроза нейтрализована, но об обновлении все же нужно помнить. Потому что патч распространяется через Galaxy Store, а не через Play Store. Так или иначе, в данном случае особого внимания заслуживает сама архитектура угрозы. Это не лучшее доказательство программного управления в Samsung.

Установлено, что приложение «Найти мой телефон» проверяет, есть ли у устройства соответствующее приложение в памяти, и на этом основании инициирует соединение с указанным в нем URL. Используя также два незащищенных реле, злоумышленник может легко создать вредоносное ПО, которое может перенаправить трафик на любой сервер. И это может быть, например, прокси-сервер, который инициирует сброс памяти телефона от имени пользователя. Или он будет собирать данные, хранящиеся в Samsung Cloud.

«В приложении «Найди телефон» не должно быть общедоступных экспортируемых компонентов, – комментирует Умбелино. «В случае крайней необходимости, например, если другие пакеты вызывают эти компоненты, они должны быть защищены соответствующими разрешениями», – заключил он. К счастью, сейчас они уже есть, поэтому обязательно обновите свои смартфоны.

Роман
Оцените автора
Безопасник
Добавить комментарий