Експерт Positive Technologies Сергій Тошин виявив критично небезпечну уразливість в актуальних версіях операційної системи Google Android – 7.0, 8.0, 9.0 – і її більш ранніх редакціях. Помилку виявлено в компоненті WebView. Про це повідомляє Security Lab.
Уразливість дозволяє отримувати доступ до конфіденційних даних користувачів Android через встановлений шкідливий додаток з миттєвим запуском (Android instant apps).
Зловмисники потенційно можуть отримати доступ до важливої інформації на смартфоні – від історії відвідувань в браузерах до сесій месенджерів і банківських додатків. На даний час уразливість усунута в Google Chrome 72, а користувачам рекомендують перевірити версію браузера на своїх пристроях.
Фахівці Google оцінюють рівень небезпеки даної уразливості (CVE-2019-5765) як високий.
“Компонент WebView сьогодні використовується в більшості мобільних додатків Android, тому атаки на нього вкрай небезпечні, – зазначає фахівець групи досліджень безпеки мобільних додатків Positive Technologies Сергій Тошин. – Найбільш очевидний сценарій атаки пов’язаний з маловідомими сторонніми додатками. Зловмисник може додати в них шкідливу функціональність для зчитування інформації з WebView інших додатків, що дозволить йому перехоплювати історію браузера, аутентифікаційні токени і заголовки (які є досить поширеним способом аутентифікації) та інші дані”.
WebView – компонент платформи Android, який дає можливість відображати веб-сторінки всередині Android-додатка. Проблема виявлена у движку Chromium, на якому побудований WebView, починаючи з Android 4.4. Уразливість також загрожує користувачам мобільних браузерів на базі Chromium, таких як Google Chrome, Samsung Internet тощо.
Технологія instant apps дозволяє переглянути додаток на пристрої без установки: на пристрій користувача завантажується тільки невеликий файл після переходу за посиланням в браузері. Під час атаки через instant apps перехоплення даних можливе, якщо користувач натисне на посилання із шкідливим миттєвим додатком.
“Починаючи з Android 7.0, компонент WebView реалізований через Google Chrome, тому для виправлення уразливості треба просто оновити цей браузер, – зазначає Сергій Тошин. – На старіших версіях Android доведеться актуалізувати компонент WebView через систему оновлення Google Play. Користувачам обладнання, на якому відсутні сервіси Google, потрібно дочекатися поновлення WebView від постачальника пристрою”.
Нагадаємо дослідники компанії Imperva з’ясували, що додаток “Google Фото” містить критичну вразливість, яка за наявності певних навичок у зловмисника дозволяла розкрити ідентифікаційні дані жертви та її близьких, в тому числі відомості про місця та час перебування.
Також Intel попереджав користувачів Windows 10 про небезпеку застарілих графічних драйверів, у яких присутні серйозні уразливості. Корпорація рекомендує: драйвери необхідно оновлювати, встановивши всі патчі, які Intel випустила за минулий рік.
Для усунення двох десятків уразливостей різного ступеня небезпеки, Intel випустила оновлення драйверів для графічних чипів. Уразливості давали змогу зловмисникам підвищувати привілеї в локальній системі, красти дані або виводити пристрій з ладу. Однак обов’язковою умовою є локальний доступ до комп’ютерної системи.
