Què necessiteu saber sobre stagefright 2.0

Els darrers mesos s’han omplert amb molta incertesa entorn d’una sèrie de problemes anomenats popularment Stagefright, nom que es va guanyar perquè la majoria dels problemes trobats tenen a veure amb libstagefright a Android. La firma de seguretat Zimperium ha publicat el que anomenen Stagefright 2.0, amb dos nous problemes al voltant dels fitxers mp3 i mp4 que podrien ser manipulats per executar codi maliciós al telèfon.

Aquí teniu el que sabem fins ara i com mantenir-vos segur.

Què és Stagefright 2.0?

Segons Zimperium, un parell de vulnerabilitats descobertes recentment permeten que un atacant presenti un telèfon o tauleta Android amb un fitxer que sembli un MP3 o MP4, de manera que quan el metadat d'aquest fitxer és previsualitzat pel sistema operatiu que el fitxer podria executar. codi maliciós. En cas d’atac a un home al mig o a un lloc web creat específicament per a lliurar aquests fitxers amb malformació, aquest codi es podria executar sense que l’usuari ho sàpiga mai.

Zimperium afirma haver confirmat l'execució remota i ho va posar en atenció de Google el 15 d'agost. En resposta, Google va assignar CVE-2015-3876 i CVE-2015-6602 a la parella de problemes comunicats i va començar a treballar en una solució.

Està afectat el meu telèfon o tauleta?

D’una manera o altra, sí. CVE-2015-6602 es refereix a una vulnerabilitat en els libutils i, com assenyala Zimperium en la seva publicació que anuncia el descobriment d'aquesta vulnerabilitat, afecta a tots els telèfons i tauletes Android fins a Android 1.0. El CVE-2015-3876 afecta tots els telèfons o tauletes Android 5.0 i superiors, i teòricament es podrien lliurar a través d’un lloc web o home en atac mig.

MALGRAT AIXÒ.

En aquest moment no hi ha exemples públics d'aquesta vulnerabilitat que s'hagi utilitzat per explotar res fora de les condicions de laboratori i Zimperium no té previst compartir l'explotació de prova de concepte que van utilitzar per demostrar aquest problema a Google. Tot i que és possible que algú altre pugui descobrir aquesta explotació abans que Google emeti un pedaç, encara que els detalls d'aquesta explotació es mantenen privats, és poc probable.

Què fa Google sobre això?

Segons un comunicat de Google, l’actualització de seguretat d’octubre aborda totes dues vulnerabilitats. Aquests pegats es realitzaran en AOSP i es llançaran als usuaris de Nexus a partir del 5 d'octubre. Els lectors d’ulls d’àguila podrien haver notat el Nexus 5X i el Nexus 6P que vam mirar recentment ja teníem instal·lada l’actualització del 5 d’octubre, de manera que si pre-ordenàveu un d’aquests telèfons, el vostre maquinari arribarà atrapat contra aquestes vulnerabilitats. La informació addicional sobre el pegat es trobarà al grup de Google Security Android el 5 d’octubre.

Pel que fa als telèfons que no siguin Nexus, Google va proporcionar l’actualització de seguretat d’octubre als socis el 10 de setembre i ha estat treballant amb fabricants d’empreses i operadors per lliurar l’actualització al més aviat possible. Si feu una ullada a la llista de dispositius que es troben en la darrera explotació de Stagefright, teniu una imatge raonable de quin hardware es considera que és una prioritat en aquest procés.

Com puc estar segur fins que arribi el pegat al meu telèfon o tauleta?

En cas que algú realment es trobi amb una explotació Stagefright 2.0 i intenti infectar als usuaris d'Android, cosa que és molt poc probable a causa de la manca de detalls públics, la clau per mantenir-se en seguretat té tot a veure amb estar atent a on es troba. torneu a navegar i amb què esteu connectats.

Eviteu les xarxes públiques quan pugueu, confieu en l'autenticació de dos factors sempre que sigui possible i romaneu el més lluny dels llocs web ombrívols que pugueu. Principalment, coses de sentit comú per mantenir-se segur.

És aquesta la fi del món?

Ni tan sols una mica. Tot i que totes les vulnerabilitats de Stagefright són de debò greus i han de ser tractades com a tals, la comunicació entre Zimperium i Google per assegurar-se que es tractin aquests problemes el més ràpidament possible ha estat fantàstica. Zimperium ha cridat l'atenció correctament sobre els problemes amb Android i Google ha intervingut per solucionar-ho. En un món perfecte aquestes vulnerabilitats no existirien, però sí i s’aborden ràpidament. No puc demanar molt més que això, donada la situació en què ens trobem.