Το Project Zero της Google λέει ότι η… Google και άλλοι κατασκευαστές Android smartphones δεν έχουν επιδιορθώσει κενά ασφαλείας

[polemikos]

Η Google μέσω της πρωτοβουλίας «Project Zero» ανακοινώνει σχεδόν σε καθημερινή βάση ευπάθειες ή κενά ασφαλείας σε λογισμικό, ιδιόκτητο ή άλλων εταιρειών.

Τελευταία, οι ερευνητές και οι εμπειρογνώμονες σε θέματα κυβερνοασφαλείας της εταιρείας από το «Project Zero» αποκάλυψαν διάφορα κενά ασφαλείας σε φορητές συσκευές και κινητά που ενσωματώνουν κάποια από τις GPUs της ARM της σειράς Mali σαν εκείνες που υπάρχουν σε Exynos SoCs.

Η ομάδα του Project Zero της υποστηρίζει ότι έχει ειδοποιήσει και επισημάνει τις ευπάθειες και τα κενά ασφαλείας στην ARM από το καλοκαίρι. Η ARM επέλυσε τα ζητήματα τον Ιούλιο και τον Αύγουστο ωστόσο μέχρι και αυτή την εβδομάδα ορισμένοι κατασκευαστές smartphones, όπως η Samsung, η Xiaomi, η Oppo ή ακόμα και η ίδια η Google δεν είχαν αναπτύξει ενημερώσεις κώδικα (patches) για την επιδιόρθωση των σχετικών ευπαθειών.

Οι ερευνητές εντόπισαν πέντε νέα κενά ασφαλείας τον Ιούνιο και τον Ιούλιο και τα επισήμαναν αμέσως στην ARM. «Ένα από αυτά τα ζητήματα μπορούσε να οδηγήσει στην αλλοίωση της μνήμης του πυρήνα, ένα άλλα μπορούσε να οδηγήσει στην αποκάλυψη διευθύνσεις φυσικής μνήμης στο userspace και τα υπόλοιπα τρία μπορούσαν να οδηγήσουν σε κατάσταση “use-after-free”» όσον αφοράτο physical page έγραψε ο Ian Beer του Project Zero σε μια ανάρτηση στο επίσημο blog του Project Zero. Τα παραπάνω ζητήματα «θα μπορούσαν να επιτρέψουν σε έναν εισβολέα να συνεχίσει να διαβάζει και να γράφει physical pages μετά την επιστροφή τους στο σύστημα».

Ο Ian Beer επίσης επισήμανε ότι ένας hacker θα μπορούσε να αποκτήσει πλήρη πρόσβαση σε ένα σύστημα, καθώς ήταν δυνατή η παράκαμψη του μοντέλου αδειών στο Android με αποτέλεσμα να είναι σε θέση να αποκτήσει «ευρεία πρόσβαση» στα δεδομένα του χρήστη. Ο εισβολέας θα μπορούσε να προχωρήσει σε κάτι τέτοιο υποχρεώνοντας τον πυρήνα να επαναχρησιμοποιήσει τις προαναφερθείσες φυσικές σελίδες ως πίνακες σελίδων.

Το Project Zero διαπίστωσε ότι τρεις μήνες αφότου η ARM διόρθωσε τα παραπάνω προβλήματα, όλες οι συσκευές που χρησιμοποιούσε η ομάδας παρέμεναν ευάλωτες. Από την Τρίτη, τα ζητήματα δεν έχουν αναφερθεί «σε κανένα δελτίο ασφαλείας» από τους κατασκευαστές Android. «Η επιδιόρθωση που παρέχεται από την ARM βρίσκεται υπό δοκιμή για συσκευές Android και Pixel και θα διατεθεί τις επόμενες εβδομάδες» δήλωσε στο Engadget εκπρόσωπος της Google. «Οι συνεργάτες Android OEM θα πρέπει να λάβουν την ενημερωμένη έκδοση κώδικα για να συμμορφωθούν με μελλοντικές απαιτήσεις SPL». Η ιστοσελίδα Engadget επικοινώνησε με τις εταιρείες Samsung, Oppo και Xiaomi για να ρωτήσει πότε σκοπεύουν να διαθέσουν τις επιδιορθώσεις στις συσκευές τους και γιατί χρειάστηκε τόσος χρόνος για να το κάνουν, ωστόσο καμία εταιρεία δεν απάντησε πριν τη δημοσίευση του άρθρου. Όπως επισημαίνει πάντως η ιστοσελίδα SamMobile, οι συσκευές της σειράς Galaxy S22 της Samsung και οι συσκευές της εταιρείας που ενσωματώνουν επεξεργαστή Snapdragon δεν επηρεάζονται από τις παραπάνω ευπάθειες.

Διαβάστε ολόκληρο το άρθρο

[JimTsiv]

[ZELOMOTH]

Δακτυλος της apple ειναι ολο αυτο..

Ανδροιντ  δε νοείται με κενα ασφαλείας

[Tlykog]

Δεν νομίζω ότι αυτό εννούν όσοι γράφουν ότι στο Android υπάρχει ελευθερία... 

Δεν νομίζω ότι εννούν ότι υπάρχει ελευθερία στο να βλέπουν όλοι, όσοι μπορούν, ελεύθερα τα προσωπικά σου δεδομένα...

Επιπλέον, για ακόμη μία φορά, η Ευρώπη είναι η χαμένη για τη Samsung: μόνο οι συσκευές της S22 με Snapdragon δεν έχουν κάποιες ευπάθειες...

17 λεπτά πριν, ZELOMOTH είπε

Δακτυλος της apple ειναι ολο αυτο..

Ανδροιντ  δε νοείται με χωρίς κενα ασφαλείας

fixed

Επεξ/σία 29 Νοεμβρίου 2022 από Tlykog

[kotronas]

Εμένα πάντως η τελευταία αναβάθμιση ασφαλείας είναι από τον Νοέμβριο του 2017 και είναι οχυρό..

[CyanBlue]

Τυχαίο..;

[soconium]

34 λεπτά πριν, kotronas είπε

Εμένα πάντως η τελευταία αναβάθμιση ασφαλείας είναι από τον Νοέμβριο του 2017 και είναι οχυρό..

Δεν ξέρω αν πρέπει να με αγχώνουν τα security updates από τη στιγμή που στο κινητό μου έχω μόνο trusted / mainstream apps. 
Απο την άλλη χρησιμοποιώ banking apps. Το ρισκάρεις; Κι αν κάτσει στραβή; 
Μηπως τα security updates είναι μύθος και πλασματικη ασφάλεια / placebo για να αλλάζουμε hardware? 
 

Εγω πάντως άφησα το fully functional OnePlus μου και τα έσκασα στην apple. 
Ίσως να ήταν απαραίτητο , ίσως όχι. Δεν ξέρω. 

[MORBID21]

Ο εισβολέας θα μπορούσε να προχωρήσει σε κάτι τέτοιο υποχρεώνοντας τον πυρήνα να επαναχρησιμοποιήσει τις προαναφερθείσες φυσικές σελίδες ως πίνακες σελίδων

[kazel]

Αυτά συνέχεια τα βλέπουμε , και από apple , intel, amd, sony , qualcomm και και και  ...

Όλοι μέσα είναι , είναι ο λόγος που δεν λέω μεγάλα λόγια 

[pao13]

έχουν 100 megapixel κάμερες όμως και 100χ. ζοομ

[Tlykog]

10 ώρες πριν, kazel είπε

Αυτά συνέχεια τα βλέπουμε , και από apple , intel, amd, sony , qualcomm και και και  ...

Όλοι μέσα είναι , είναι ο λόγος που δεν λέω μεγάλα λόγια 

Ευτυχώς δεν τα βλέπουμε. Άλλο το να έχει κενό ασφαλείας και άλλο το να έχει κενό ασφαλείας και μετά από πολύ καιρό κανένας να μην κάνει κάτι γι αυτό.

[n3a]

18 ώρες πριν, soconium είπε

Δεν ξέρω αν πρέπει να με αγχώνουν τα security updates από τη στιγμή που στο κινητό μου έχω μόνο trusted / mainstream apps. 
Απο την άλλη χρησιμοποιώ banking apps. Το ρισκάρεις; Κι αν κάτσει στραβή; 
Μηπως τα security updates είναι μύθος και πλασματικη ασφάλεια / placebo για να αλλάζουμε hardware? 
 

Εγω πάντως άφησα το fully functional OnePlus μου και τα έσκασα στην apple. 
Ίσως να ήταν απαραίτητο , ίσως όχι. Δεν ξέρω. 

Έχω την εντύπωση πως δεν ήταν. Τουλάχιστον αν ο μοναδικός λόγος ήταν η ασφάλεια. Έχω και γω OnePlus και οι ενημερώσεις ασφαλείας έρχονται ανα 1-2 μήνες (συνήθως 1), περιλαμβάνοντας τις ενημερώσεις του προηγούμενου μήνα. Π.χ. πριν λίγες μέρες ήρθε αναβάθμιση σε Android 13 και security update level October 5.

[Dias]

Εεεεε ναι ρε. Αλλιώς πως θα μπορούσε να εγκατασταθεί το predator και τα υπόλοιπα συναφή προγράμματα ;

[kazel]

Στις 30/11/2022 στις 10:29 ΠΜ, Tlykog είπε

Ευτυχώς δεν τα βλέπουμε. Άλλο το να έχει κενό ασφαλείας και άλλο το να έχει κενό ασφαλείας και μετά από πολύ καιρό κανένας να μην κάνει κάτι γι αυτό.

Ναι , θυμάστε το icloud που είχε θέμα με κάποιο συγχρονισμό και ήταν εύκολο να πάρουν δεδομένα και βγήκαν photo και video με διάσημους σε προσωπικές στιγμές ,και βγήκε στη φορά ότι έχει  ενημερωθεί και τότε , η sony που είχε κενό ασφαλείας  το ήξερε καιρό, αλλά αφού  την πάτησε ,τότε έβαλε κάζη,

Το ίδιο και με τα intel και μετά amd 

Με τα meltdown κ.τ.λ 

Το θέμα είναι να τα προλάβουμε εμείς 

 

[Tlykog]

8 ώρες πριν, kazel είπε

Ναι , θυμάστε το icloud που είχε θέμα με κάποιο συγχρονισμό και ήταν εύκολο να πάρουν δεδομένα και βγήκαν photo και video με διάσημους σε προσωπικές στιγμές ,και βγήκε στη φορά ότι έχει  ενημερωθεί και τότε , η sony που είχε κενό ασφαλείας  το ήξερε καιρό, αλλά αφού  την πάτησε ,τότε έβαλε κάζη,

Το ίδιο και με τα intel και μετά amd 

Με τα meltdown κ.τ.λ 

Το θέμα είναι να τα προλάβουμε εμείς 

 

Το iCloud δεν ήταν ευπάθεια ασφαλείας. Ήταν ευπάθεια του χρήστη… Δεν είχε κανένα θέμα με το συγχρονισμό.

Αν και πάλι δεν κατάλαβες τι έγραψα. Τα λάθη υπάρχουν, το θέμα είναι να διορθώνονται άμεσα. Εδώ η Google απλά τα αφήνει.