Luka bezpieczeństwa w telefonach z Androidem. Winne procesory MediaTeka
Mamy dwie wiadomości dla posiadaczy smartfonów z układami MediaTeka, w których wykryto groźną lukę. Dobra: pojawiła się aktualizacja. Zła: pojawiła się aktualizacja.
Badacze z firmy Check Point odkryli cztery luki bezpieczeństwa w oprogramowaniu procesorów MediaTek, które mogą doprowadzić do złamania zabezpieczeń w smartfonach z procesorami tej firmy. Wedle szacunków można je znaleźć w aż 37 proc. smartfonów oraz urządzeń z kategorii Internetu Rzeczy.
W przypadku przynajmniej części z tych procesorów pojawiły się aż cztery luki bezpieczeństwa, które można w teorii wykorzystać do przeprowadzenia ataku na urządzenie użytkownika. Trzy z nich zaszyły się w firmwarze procesora, a czwarta w warstwie abstrakcji sprzętowej wykorzystywanej przez system operacyjny.
Malware na Androida wykorzystujący te luki może uzyskać dostęp do mikrofonu i podsłuchać posiadacza telefonu z MediaTekiem.
W celu przeprowadzenia hipotetycznego ataku można wykorzystać błędną konfigurację, która wynika z pozostawienia w kodzie konfiguracji wykorzystywanej do debuggowania. Dobra wiadomość jest taka, że MediaTek naprawił już tę lukę, która pozwalała nadpisać dane w pamięci procesora złośliwym kodem za pomocą tzw. przepełnienia sterty.
Check Point, który wykorzystał inżynierię wsteczną do odkrycia błędów, podzielił się z producentem procesorów informacją o bugach, które oznaczono CVE-2021-0661, CVE-2021-0662, CVE-2021-0663 and CVE-2021-0673. MediaTek przygotował łatkę jeszcze zanim podatność została upubliczniona. Teraz wszystko w rękach… producentów sprzętu.
Niestety jest też zła wiadomość: łatka może i jest dostępna, ale nie wszystkie obecne w użyciu sprzęty dostają aktualizacje.
Producenci sprzętów z Androidem często nie podchodzą zbyt poważnie do kwestii aktualizacji sprzedawanych przez siebie urządzeń. W przypadku tych drogich i topowych modeli można liczyć na 2 albo 3 lata wsparcia serwisowego, ale zetafony, w których bardzo często montowane są właśnie procesory MediaTeka, często otrzymują łatki z opóźnieniem (albo wcale).
