Microsoft szczegółowo opisuje poważne luki w preinstalowanych aplikacjach na Androida

Microsoft publicznie ujawnił szereg luk w zabezpieczeniach platformy mobilnej wykorzystywanej w aplikacjach na Androida „z milionami pobrań”, które mogą narazić użytkowników na ataki.

firma Mówi(Otwiera się w nowym oknie) „Ujawnił luki wysokiego ryzyka w środowisku mobilnym należącym do mce Systems i używanym przez wielu dużych dostawców usług mobilnych we wstępnie zainstalowanych aplikacjach na Androida, które potencjalnie narażają użytkowników na zdalne (choć wyrafinowane) lub lokalne ataki”.

Słabości są identyfikowane jako CVE-2021-42598(Otwiera się w nowym oknie)A CVE-2021-42599(Otwiera się w nowym oknie)A CVE-2021-42600(Otwiera się w nowym oknie)A CVE-2021-42601(Otwiera się w nowym oknie); Microsoft twierdzi, że wady otrzymały wynik CVSS 7,0-8,9 na 10.

Firma twierdzi, że platforma mobilna mce Systems obejmuje usługę, którą atakujący może „zdalnie wywołać w celu wykorzystania różnych luk, które mogą pozwolić przeciwnikom na umieszczenie stałego backdoora lub uzyskanie znaczącej kontroli nad urządzeniem”.

Microsoft twierdzi, że wykrył luki we wrześniu 2021 r. Następnie firma mce Systems i „dostawcy usług mobilnych, których dotyczy problem”, zgłosili luki w zabezpieczeniach i pracowali z tymi firmami w celu złagodzenia problemów, aby hakerzy nie mogli wykorzystać powiązanych aplikacji.

„Ściśle współpracowaliśmy z zespołami ds. bezpieczeństwa i inżynierii w systemach mce, aby złagodzić te luki”, mówi Microsoft, co obejmowało wysyłanie systemów mce pilnej aktualizacji platformy do dostawców usług, których dotyczy problem, oraz udostępnianie poprawek dla problemów. W momencie publikacji nie zgłoszono żadnych oznak wykorzystywania tych luk w środowisku naturalnym”.

Firma zgłosiła również te luki do Google. Podobno Google odpowiedział aktualizacją Google Play dla ochrony(Otwiera się w nowym oknie)które według Google użytkownicy Androida mogą „pomóc w zapewnieniu bezpieczeństwa aplikacji i prywatności danych” w celu wykrywania tego typu luk w zabezpieczeniach.

Jednak pełny zakres tych luk jest nieznany. Microsoft twierdzi, że „dodatkowi dostawcy mogą zostać nieodkryci i mogą być dotknięci” przez te wady i zauważa, że ​​„wiele warsztatów naprawy telefonów komórkowych” mogło zainstalować zagrożoną aplikację na urządzeniach klientów. Użytkownikom Androida doradzono wyszukanie i usunięcie tej aplikacji ze swoich telefonów.

Więcej informacji o lukach — w tym część mobilnej struktury mce systems, sposobów ich wykorzystania i nie tylko — można znaleźć w raporcie firmy Microsoft.