На этой неделе Google исправил критическую уязвимость в Bluetooth-компоненте Android. Эксперты считают, что если эту уязвимость оставить не исправленной, ее можно использовать без какого-либо взаимодействия с пользователем и даже использовать для создания самораспространяющихся Bluetooth - червей.
Исправления для этой ошибки доступны в обновлении Android февраль 2020 Security Bulletin, которое доступно для загрузки начиная с этой недели.
Фактическая ошибка отслеживается как CVE-2020-0022 , и была обнаружена и сообщена в Google экспертами из немецкой фирмы по кибербезопасности ERNW.
Может использоваться для создания самораспространяющихся Bluetooth - червей
Исследователи заявили, что использование ошибки не требует взаимодействия с пользователем. Все, что требуется, - это чтобы у пользователя был включен Bluetooth на его устройстве.
Однако, хотя это требование ограничивало возможность атаки в прошлые годы, теперь это не так, поскольку современные версии ОС Android поставляются с включенной по умолчанию Bluetooth, а многие пользователи Android используют наушники на основе Bluetooth, что означает, что служба Bluetooth может быть включена во многих телефоны.
Близость к цели также требуется, но это подразумевается для любого типа использования Bluetooth.
Исследователи ERNW говорят, что эта ошибка позволяет злоумышленнику «тихо выполнить произвольный код с привилегиями демона Bluetooth».
«Взаимодействие с пользователем не требуется, и должен быть известен только MAC-адрес Bluetooth целевых устройств. Для некоторых устройств MAC-адрес Bluetooth можно определить по MAC-адресу WiFi», - добавили они.
«Эта уязвимость может привести к краже личных данных и потенциально может быть использована для распространения вредоносного ПО (Short-Distance Worm)», - считают исследователи из ERNW .
Баг работает на Android 9 и более ранних
Уязвимость была успешно протестирована на Android 8 и 9, но исследователи считают, что более старые версии также, вероятно, уязвимы.
CVE-2020-0022 не работает на Android 10, хотя это вызывает только сбой демона Bluetooth.
Команда ERNW заявила, что планирует опубликовать подробные технические подробности об этой ошибке позже, но в то же время они делают пользователям Android предупреждение о необходимости установки обновлений безопасности февраля 2020 года.
Если пользователи не могут обновлять - по разным причинам - тогда они могут использовать следующие простые правила для предотвращения атак:
- Включайте Bluetooth только в случае крайней необходимости.
- Держите ваше устройство не доступным для обнаружения. Большинство устройств можно обнаружить только при входе в меню сканирования Bluetooth.
Команда ERNW также заявила, что планирует опубликовать проверочный код для воспроизведения ошибки, которая, скорее всего, будет использована некоторыми плохими парнями.
И вот это уже интересно).
