Обычное PNG-изображение могло полностью скомпрометировать устройство на Android - «Новости»

Xakep #238. Забытый Android

• Содержание выпуска


• Подписка на «Хакер»

Разработчики Google исправили опасную проблему в Android: простой просмотр вредоносного файла PNG через приложение мог привести к исполнению произвольного кода, заложенного в картинку. К примеру, если файл PNG (загруженный откуда-то из интернета или полученный через социальные медиа) открыть в мессенджере или почтовом клиенте, встроенная в него малварь запустится на устройстве с более высокими привилегиями, то есть в контексте процесса.

В общей сложности в мобильной ОС Google в этом месяце было устранено 11 критических багов. Три из них (CVE-2019-1986, CVE-2019-1987 и CVE-2019-1988), включая вышеупомянутую уязвимость, связанную с просмотром файлов PNG, были обнаружены в компоненте Framework и представляли опасность для систем, начиная от Android 7.0 (Nougat) и заканчивая текущей версией Android 9.0 (Pie).

Хотя наиболее серьезной из исправленных проблем разработчики называют именно исполнение произвольного кода через просмотр картинок, две другие критические уязвимости выглядят не менее скверно. Эти баги связаны с Bluetooth: вредоносная передача также могла использоваться для исполнения произвольного кода на уязвимых девайсах.

Суммарно февральский набор обновлений для Android устраняет 42 проблемы, 11 из которых были признаны критическими, и еще 30 имеют статус высоко опасных и умеренно опасных. Разработчики подчеркивают, что ни одна из этих уязвимостей пока не использовалась преступниками для проведения атак.