Tencent Blade - Raziskovalci Tencent Blade Teama so odkrili serijo treh varnostnih lukenj v Qualcommovih sistemskih naborih, poimenovanih tudi QualPwn. Ranljivosti omogočajo popoln prevzem nadzora nad napravami z operacijskim sistemom Android, brez da bi bila potrebna kakršnakoli interakcija uporabnika, in sicer prek zlorabe sistemskega kernela, pod pogojem, da se napadalec in žrtev nahajata v istem Wi-Fi omrežju. Gre torej za napad "over the air", torej ne na daljavo oz. prek interneta.
Ranljivost CVE-2019-10538 omogoča prekoračitev medpomnilnika (buffer overflow), ki prizadene WLAN in Androidov kernel. Zaradi nje je mogoče na WLAN vmesnik pošiljati posebne paketke, ki nato omogočajo zaganjanje programske kode s kernelovimi privilegiji. Tudi pri drugi, CVE-2019-10540, gre za prekoračitev medpomnilnika WLANa in modemovega firmwara, zaradi česar lahko ponovno s posebej oblikovanimi paketki napademo modem, nato pa na napravi izvajamo poljubno kodo.
Tencentovi raziskovalci so oba QualPwn napada preizkusili na Googlovih telefonih Pixel 2 in Pixel 3, ki ju poganjata Qualcommova Snapdragon 835 in Snapdragon 845.
Tretjega hrošča so našli in objavili kar sami pri Qualcommu in sicer gre tudi v tem primeru za izrabljanje lastnosti medpomnilnika, ki ne preverja velikosti vhodnih podatkov, ranljivost pa je prizadela nekoliko večje število čipsetov.
Vse tri ranljivosti so že pokrpane, prvi dve z Googlovo nadgradnjo Androida, zadnja pa z varnostnimi popravki, ki jih je izdal Qualcomm.
Vse tri ranljivosti so že pokrpane, prvi dve z Googlovo nadgradnjo Androida, zadnja pa z varnostnimi popravki, ki jih je izdal Qualcomm.
Ta del v članku zahteva dodatno razlago, oz. je lahko za bralce zavajajoč. Ja, te ranljivosti so pokrpane v kodi Androida, a najverjetneje še niso pokrpane na vašem telefonu, na dosti telefonih pa tudi nikoli ne bodo, ker posodobitev ne prejemajo več.
Zamenjas eno luknjo za drugo luknjo. Ja plosk plosk.
The reason why most of society hates conservatives and
loves liberals is because conservatives hurt you with
the truth and liberals comfort you with lies.
Glede na veliko število starejših android naprav na trgu, ki popravkov ne bodo nikoli dobile, je res nekoliko naivno govoriti o tem, da so "vse tri ranljivosti že pokrpane"...
Kakšne zares široko odprte varnostne luknje bi tokrat koristile predvsem prodajalcem novih naprav, ljudje itak premalo pogosto menjamo tele vedno dražje gizmote.
Po domače povedano - ranljivost je v qualcommovem gonilniku za wlan? Zdaj čakamo samo še ranljivost v lte modemu in smo zmagal že na nekaj kilometrov stran Daš tako postajo na swarm dronov in pwnaš celo mesto.
Prevod: tvoj telefon je ranljiv in... nobenega ne briga
Izjema: 1-3 % uporabnikov, ki dobiva update-je
Malo več kot 1-3% uporabnikov pa že prejema posodobitve. Tako po občutku bi rekel, da kakšnih 20-30% uporabnikov.
Drugače pa res nisem na tekočem s statistikami, koliko star je povprečni mobitel v rokah uporabnikov. Mlajši bolj zahtevni in/ali bolj aktivni (nesreče...) uporabniki predvidoma bolj pogosto menjavajo mobitele kakor starejša generacija, ki zamenja telefon šele takrat, ko dobesedno in dokončno crkne. Pa še takrat je menjava bolj kot ne travmatičen dogodek.
Pričujoče sporočilo je (lahko) oglasno sporočilo
- četudi na prvi pogled ni prepoznavno kot tako.
(Zdaj me pa obtožite prikritega oglaševanja, če morete!)
Glede na veliko število starejših android naprav na trgu, ki popravkov ne bodo nikoli dobile, je res nekoliko naivno govoriti o tem, da so "vse tri ranljivosti že pokrpane"...
Kakšne zares široko odprte varnostne luknje bi tokrat koristile predvsem prodajalcem novih naprav, ljudje itak premalo pogosto menjamo tele vedno dražje gizmote.
Ta graf ne pove ničesar o varnosti. Varnostni popravki se izdajajo tudi za starejše verzije.
Imel Nexus4, kar na enkrat več ni dobival posodibitev sistema. Pa je bil od gugla. Hebeš pixle in gugle telefone. Zdaj mam že 4leta Sony Z3C z Android 6.0.1. Ta je tudi že dolgo odpisan pri posodobitvah. Pa me res boli...Pa upam da še par let ostane. Edino če bom baterijo menjal. Hiter je in ne šteka nič.
Itak pa težko najdeš dober telefon pa da ni TV velikosti
Zakaj pa bi menjal telefon vsake par let, se posebaj, ce stane 1000 EUR?
Točno zaradi varnosti. Raje menjati vsako leto za 5x manjšo ceno.
Android One ... ni nujno Google in dobiva posodobitve 1x na mesec.
Slejkotprej se tudi te posodobitve nehajo, ali zaradi "podhranjenosti" hardvera ali pa zaradi ekonomskih interesov. Ampak do sedaj je vedno bila podpora ukinjena.
Zamenjas eno luknjo za drugo luknjo. Ja plosk plosk.
Drive by total own na iOS poznaš in ne deliš z drugimi? Ti lump ti...
Prevod: gospod širi dejstva izvita iz trte
A tako, kot ti iz riti vleces neke procente? Tazadnji si, ki lahko komu kaj ocitas.
The reason why most of society hates conservatives and
loves liberals is because conservatives hurt you with
the truth and liberals comfort you with lies.
Vsakemu, ki ima IQ nad 5 je jasno, da vsak lahko za karkoli poda neko grobo oceno. Samo tebi ni. Nihce ti pa ne more preprecit, da ne vztrajas pri svojih neumnostih, to drzi.
The reason why most of society hates conservatives and
loves liberals is because conservatives hurt you with
the truth and liberals comfort you with lies.
No, pustimo trola. Google pravi, da je delež adnroidov verzije 7 do 9 nekje malo več kot polovica. Za te verzije je tudi na voljo popravek. (vir) Torej skoraj polovica naprav odpade že tu. Zdaj pa roke gor, kdo ima napravo z Android 7 in dobiva update?
Ocena SeMiNeSanja (20-30%) je še kar optimistična.
Sicer pa (dobesedno) ni panike. Pol sveta se lahko owna mimogrede? Kot vidiš, ima novica 20 komentarjev, od tega 5 mojih. Jih je več če neki obskurni politik zjutraj nekaj tvitne.
Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!
@MrStein: popravek je izdal Google, implementirat in uporabnikom dostavit ga morajo pa OEMi. Koliko Nugat in Oreo naprav misliš, da bo dobilo vse avgustovske popravke?
Respect the bacteria! They are the only culture some people have.
Google pravi, da je delež adnroidov verzije 7 do 9 nekje malo več kot polovica. Za te verzije je tudi na voljo popravek. (vir) Torej skoraj polovica naprav odpade že tu.
Kot prvo pozabljaš, da niso vse naprave ranljive. V CVE imaš seznam ranljivih chipsetov, gre za podmnožico vseh naprav z Androidom.
Zdaj pa roke gor, kdo ima napravo z Android 7 in dobiva update?
Sam sem se to isto spraševal in dejansko ugotovil, da imam par LG naprav, ki imajo kao (ker so uradne posodobitve postale čisto preredke, čeprav še pridejo) podporo in zadnji uradni Android 7. Ampak recimo niso ranljive za tole, tako da po njih ne morem soditi, ali se bo LG kaj zganil.
V glavnem, lahko da take naprave s podporo obstajajo, a so po moje redke. Verjetno lahko naprave z Android 7, kar se splošne statistike podpore tiče, zanemariš in gledaš le Android 8 in novejši.
Ocena SeMiNeSanja (20-30%) je še kar optimistična.
Hm, ne vem, če je. Kot prvo je vprašanje, katero statistiko gledati. Z zgornjega linka dobiš sicer kvalitetne številke, a vprašanje, koliko naprav s Kitajske je zajetih, to pa je dober kos Androida. Pa še kake druge manjkajo tudi. Ampak ok, recimo da vzamemo zgornje številke.
Po njih je Android 8 in novejši nameščen na cca. 38% naprav. Med temi niti niso vse ranljive. Od ostalih prav tako niso vse ranljive.
Meni se je tudi 20-30% zdela visoka cifra, a kot kaže je bil SeMiNeSanja še konzervativen, s tvojih 1-3% pa si usekal čisto mimo.
Še vedno pa pravzaprav nimamo niti približnega odstotka, koliko naprav je sploh ranljivih.
Drugič v izogib težavam morda napiši "zelo malo", pa ti bomo isto razložili, da nimaš prav.
Pa ne me narobe razumet, Android eko-sistem je po mojem mnenju eno veliko sranje. Dejstvo, da recimo ti popravki še do zdaj niso množično prišli do naprav, je samo še en odličen argument temu v prid.
Daš tako postajo na swarm dronov in pwnaš celo mesto. 
