События

70 млн смартфонов Xiaomi уязвимы для удаленных атак

70 млн смартфонов Xiaomi уязвимы для удаленных атак

Исследователи IBM X-Force сообщили об обнаружении в MIUI (альтернативная прошивка для Android, созданная компанией Xiaomi Tech) опасной уязвимости, которая допускает удаленное выполнение произвольного кода. По оценкам исследователей, только в 2015 году компания отгрузила более 70 000 000 устройств, которые могут быть уязвимы перед данным багом.

Проблема затрагивает версии, вышедшие до MIUI Global Stable 7.2, и была обнаружена в аналитическом компоненте, который используется различными приложениями для сбора данных о собственной работе. По данным исследователей, данный компонент имеет собственный механизм обновлений, который нельзя считать безопасным: он может быть скомпрометирован с помощью man-in-the-middle атаки и использован для заражения системы малварью.

IBM X-Force сообщает, что означенный аналитический модуль обращается к серверам обновлений через HTTP. Скачивание обновлений тоже происходит через HTTP, и все это является серьезной проблемой. Так как загруженные пакеты обновлений не подвергаются никакой верификации, и даже сервера, с которых было загружено обновление, не проверяются, атакующие получают шанс выполнить вредоносный код в системе, к тому же имея высокие права (как пользователь system).

Для осуществления атаки злоумышленникам понадобится лишь прибегнуть к простейшим техникам спуфинга, перехватить запрос на обновление и вернуть ответ, прикинувшись сервером. Классическая mitm-атака, которую не так уж трудно осуществить.

Исследователи пишут, что уязвимый аналитический компонент используют как минимум четыре различных приложения из Xiaomi MIUI, и одно из этих приложений – дефолтный браузер.

Представители IBM X-Force уведомили разработчиков Xiaomi о проблеме еще в январе 2016 года, и к настоящему моменту компания уже исправила уязвимость. Теперь пользователям настоятельно рекомендуется обновить прошивку до безопасной версии 7.2.

Автор: Сергей Куприянов
13.07.2016 (08:00)
Пройди тест и узнай об этом!
Информер новостей
Расширение для Google Chrome
Пишите нам

Редакция: info@alterprogs.ru

Реклама: adv@alterprogs.ru

Все права защищены © 2010-2019

"Alterprogs.ru" - технологии будущего

Контакты  | Карта сайта

Использование любых материалов, размещенных на сайте, разрешается при условии ссылки на alterprogs.ru. Для интернет-изданий - обязательна прямая открытая для поисковых систем гиперссылка. Ссылка должна быть размещена в независимости от полного либо частичного использования материалов. Материалы в рубрике "Новости партнеров" публикуются на правах рекламы.