1
0
9 Vulnerabilidades de dia zero no Android afetam bilhões de dispositivos Android – hackers executam chamadas DOS, RCE, fazem, negam e falsificam.
Pesquisa exclusiva encontrou 9 vulnerabilidades críticas do Android VoIP Zero-day em nível de sistema, que permitem que os invasores executem operações maliciosas, incluindo negação de chamadas de voz, falsificação de identificação de chamadas, operações de chamadas não autorizadas, ataque do DOS e execução remota de código.
Uma equipe de acadêmicos e pesquisadores do OPPO ZIWU Cyber Security Lab, da Universidade Chinesa de Hong Kong e da Singapore Management University descobriu essas sérias vulnerabilidades do Android e testou com sucesso da versão 7.0 do Android até a mais recente 9.0.
VoIP é uma nova tecnologia que oferece voz, fax, SMS, de mensagens de voz para dispositivos móveis sobre a comutação de pacotes de rede IP e VoIP também suporta Android que inclui VoLTE e VoWiFi padrões.
Os pesquisadores descobriram essas vulnerabilidades, aprofundando a segurança do VoIP no nível do sistema para analisar a pilha de protocolos do Android VoIP e todas as suas quatro superfícies de ataque.
Todas as quatro superfícies de ataque descobertas pelos pesquisadores permitirão que os atacantes realizem superfícies de ataque físicas, locais e remotas nas proximidades contra dispositivos Android VoIP.
fonte: GBHackers
A maioria das partes da pesquisa se concentrou em uma nova abordagem de avaliação de vulnerabilidade chamada Fuzzing, uma técnica automatizada de teste de software que envolve o fornecimento de dados inválidos, inesperados ou aleatórios como entradas. Relativamente, essa pesquisa foi abordada por meio de difusão por Intent / API, difusão de pacotes no lado da rede e auditoria de código direcionada.
Os pesquisadores descobriram duas vulnerabilidades usando o método On-Device Fuzzing, quatro vulnerabilidades foram descobertas usando o Network Side Fuzzing e o restante das três vulnerabilidades foi descoberto com a ajuda da Auditoria de código.
Das 9 vulnerabilidades de dia zero no Android, oito delas foram finalizadas como vulnerabilidades do sistema e reconhecidas pelo Google com prêmios de recompensas por bugs e uma vulnerabilidade afetou o aplicativo de terceiros.
Aproximadamente 6 vulnerabilidades podem ser exploradas por um adversário da rede que permite que atacantes locais e remotos explorem o VoIP do Android e 7 em 9 vulnerabilidades são marcadas como severidade “Crítica” e “Alta” pelo Google.
Duas vulnerabilidades remotas podem ser acionadas apenas quando o telefone estiver conectado a um dispositivo HFP (Perfil de viva-voz) nas proximidades.
Fonte: GBHackers
9 vulnerabilidades de dia zero
1. Disparo malicioso de uma chamada VoIP no aplicativo VK (baixa)
Uma vulnerabilidade reside no tipo de dados vk.voip e na existência de um componente exportado, o LinkRedirActivity permite que o invasor local faça uma chamada VoIP diretamente para uma conta de usuário VK instalando o aplicativo mal-intencionado sem o consentimento do usuário e até a tela do celular estiver desativada .
De acordo com os pesquisadores, “o usuário vítima pode espionar se a conta VK do destinatário for configurada para uma conta sob o controle do atacante, cuja ideia é semelhante ao ataque de login CSRF (CrossSite Request Forgery) na segurança da Web”. A vulnerabilidade foi descoberta usando o método de difusão no dispositivo.
2. Transferência de chamadas não autorizadas na interface do IMS (Moderada)
Um serviço de sistema Android chamado “QtilMS” implementado pela Qualcomm expôs duas APIs de VoIP (SendCallTransferRequest e SendCallForwardUncondTimer) a qualquer aplicativo de terceiros.
Essas 2 APIs são muito sensíveis e são acessíveis apenas àqueles com a permissão CALL_PRIVILEGES. Devido à falha do QtilMS na verificação do privilégio, qualquer aplicativo sem permissão também pode invocar as APIs e os aplicativos mal-intencionados usam indevidamente as APIs e executam transferências de chamadas não autorizadas.
3. Inegável spam de chamadas VoIP devido ao nome SIP longo (Alto)
Outra vulnerabilidade interessante de dia zero descoberta por pesquisadores que usam o SIP que difere do invasor para executar uma chamada VoIP inegável preenchida pelo nome muito longo do SIP.
Esse ataque evita que o usuário não atenda à chamada nem a rejeite, porque não haverá botão para executar a tarefa. os pesquisadores chamam de “bomba de chamadas VoIP”
Não é possível aceitar ou negar a chamada“Se o adversário lançar esse spam inegável de chamadas VoIP, a vítima precisa desativar a conexão de rede ou desligar o telefone”
4. DoS remoto na telefonia uma vez Aceitando uma chamada (Alta)
Um ataque remoto ao DoS por meio de um arquivo de configuração malformado: $. / Uac.sh -f malformed.cfg que pode travar o telefone Android da vítima quando ele / ela atender a chamada.
Os pesquisadores disseram que “nossos teste identificaram dois pontos fracos no módulo de telefonia afetado, um dos quais poderia ser explorado pelo ataque e a outra maneira é usar a descrição inválida do SDP.”
5. Execução remota de código devido ao estouro de buffer da pilha (Crítico)
Essa vulnerabilidade do RCE pode ser acionada por um invasor apenas quando o telefone da vítima estiver conectado a um dispositivo Bluetooth próximo.
“Um estouro de buffer de pilha acontece quando um número de chamador com mais de 513 bytes é inserido. Essa vulnerabilidade permite que um adversário substitua o endereço de retorno da função ClccResponse, causando a execução remota de código.” O Google marcou essa vulnerabilidade como severidade “Crítica ”.
6. DoS remoto no Bluetooth uma vez Recebendo uma chamada (Alta)
Muito semelhante à vulnerabilidade anterior, ela poderia ser acionada quando o estado da chamada BTHF_CALL_INCOMING for alterado e somente quando o telefone estiver conectado a um dispositivo Bluetooth próximo.
Comparado ao DoS na V4, o acionamento do DoS na V6 só precisa receber, em vez de atender, uma chamada, e a vulnerabilidade pode ser corrigida restringindo-se ao tamanho do número do chamador inserido no módulo Bluetooth.
7. Vazamento de dados e DoS permanente devido ao Traversal de caminho (alto)
Os pesquisadores exploram essa vulnerabilidade devido à inconsistência entre o diretório de arquivos URI SIP e Android / Linux, e isso pode levar a um DoS permanente que também pode ocorrer se o “servidor ip” estiver configurado para substituir o arquivo de outro aplicativo do sistema.
“Devido a esse arquivo mmssms.db falso, o arquivo real não pode ser criado e, assim, nega qualquer funcionalidade do SMS. Somente uma redefinição de fábrica pode recuperar o telefone. ”
8. Identificação de chamada falsa devido a uma análise incorreta de “&” (alta)
Essa vulnerabilidade afetou os dispositivos Android devido à inconsistência entre o formato de número URI SIP e PSTN (Rede telefônica pública comutada) e está relacionada ao caractere específico “&” no número do chamador.
De acordo com a convenção da PSTN, “um número de chamada com ‘&’, o aplicativo de discagem do sistema trata o número antes de ‘&’ como o número de chamada real e o número após ‘&’ como o número de transferência de chamada“,
Ele pode ser abusado por um invasor simplesmente adicionando um caractere “&” no final, causando um ataque de falsificação de identificador de chamadas.
9. Falsificação de identificação de chamada devido a “contexto telefônico” (alto)
Igual ao ataque anterior, outra inconsistência ocorre nesse ataque devido ao “contexto do telefone“ que é basicamente usado para mencionar o prefixo de um número de telefone.
Nesse caso, o Google é executado automaticamente pelo mecanismo CallerID do Android, que tenta correlacionar números de telefone conhecidos ou marcar números de spam no cenário normal.
“Nova causa raiz, processamento incompatível entre chamadas VoIP e PSTN, que leva a seis vulnerabilidades de VoIP e requer atenção extra dos desenvolvedores em seu futuro design e implementação.” Os pesquisadores concluíram.
Os pesquisadores publicaram um white paper com uma análise completa de todas as vulnerabilidades do Android Zero-day. Faça o download aqui .