Похоже, что в Android существует гигантская уязвимость, которая в основном затрагивает все телефоны. Мир ПК написал:
Исследователь безопасности [Джошуа Дрейк] обнаружил, что подавляющее большинство телефонов Android можно взломать, отправив им специально созданное мультимедийное сообщение (MMS).
...
Дрейк обнаружил многочисленные уязвимости в основном компоненте Android под названием Stagefright, который используется для обработки, воспроизведения и записи мультимедийных файлов. Некоторые недостатки допускают удаленное выполнение кода и могут быть вызваны при получении MMS-сообщения, загрузке специально созданного видеофайла через браузер или открытии веб-страницы со встроенным мультимедийным контентом.
...
Вектор атаки MMS является самым страшным из всех, потому что он не требует взаимодействия с пользователем; телефон просто должен получить вредоносное сообщение.
Например, злоумышленник может отправить вредоносное MMS-сообщение, когда жертва спит и звонок телефона отключен, сказал Дрейк. После эксплуатации сообщение может быть удалено, поэтому жертва даже не узнает, что его телефон был взломан, сказал он.
Что может сделать обычный пользователь, чтобы смягчить проблему? Отключить Google Hangouts?
Ответы:
Это касается не только MMS или веб-серфинга, поскольку Stagefright - это библиотека, которая помогает телефонам распаковывать мультимедийные сообщения: см. « Медиа» и эту статью о Fortune.
Так что речь идет о любом приложении (включая ваш веб-браузер), которое работает с мультимедиа (видеоклипы и аудиозаписи). MMS - это самый простой способ использовать его, потому что ваш телефон не будет спрашивать вас перед загрузкой.
Вот почему вам также необходимо подумать обо всех других приложениях, работающих с мультимедиа, и никогда не открывать какие-либо мультимедийные вложения, пока исправление не установлено на вашем телефоне.
Для веб-браузера вы можете переключиться на Firefox 38 или выше , затем вы можете продолжить открывать веб-страницы с видео и / или аудио контентом.
Чтобы подвести итог:
Не открывайте никакие мультимедийные файлы и не рисуйте миниатюры видео в любых других приложениях и по возможности блокируйте их автоматическое открытие / загрузку во всех приложениях. Это очень важно . Если ваш телефон не пропатчен, и вы используете ЛЮБОЕ приложение с мультимедийным контентом, и нет возможности заблокировать автоматическое открытие мультимедиа в этом приложении (например, для браузера: если вы открываете какую-то случайную веб-страницу, ваш браузер должен предварительно загрузить видео, если они находятся на этой веб-странице), затем прекратите использование этого приложения и заблокируйте доступ к Интернету для этого приложения (если не можете - удалите приложение). Если это приложение важно для вас, и вы не можете обновить прошивку телефона или заблокировать мультимедиа в этом приложении, просто прекратите использование телефона и купите другой , который не уязвим.
Да, это означает, что в худшем случае вам нужно сменить телефон. Stagefright - это очень серьезная уязвимость, затрагивающая ~ 1 миллиард устройств, поэтому вы легко можете стать жертвой автоматической атаки, которая направлена не против вас, а направлена на 1 миллиард пользователей.
Установите обновления, если у вас Cyanogenmod 11 или 12 (исправлено 23.07.2015, см. Коммиты на github )
РЕДАКТИРОВАТЬ: исправления от 23.07.2015 были неполными, вам может потребоваться обновить после исправления 13.08.2015
РЕДАКТИРОВАТЬ 4: Исправления 13.08.2015 снова были неполными, вам нужно обновить еще раз после исправлений от Google в октябре 2015 года (так называемый Stagefright 2.0). Если у вас Adroid 5.x или 6, вам может потребоваться обновить его после следующих исправлений от Google в ноябре 2015 года, поскольку существуют аналогичные опасные уязвимости (CVE-2015-6608 и CVE-2015-6609), которые, вероятно, не называется Stagefright больше. Обратите внимание, что время фактического исправления от вашего производителя может быть позже или, по крайней мере, другим. Например, CM11 был обновлен 09.11.2015 , а CM12.1 обновлен 29.09.2015 .
РЕДАКТИРОВАТЬ 5: 2: больше уязвимостей Stagefright сообщается Google на 01.02.2016, однако они «только» влияют на Adroid 4.4.4 - 6.0.1
Ждите обновления от вашего производителя
РЕДАКТИРОВАТЬ 2: Как и в случае с Cyanogenmod, обновления от вашего производителя может быть недостаточно из-за проблемы с первоначальным исправлением целочисленного переполнения, о которой сообщалось 12.08.2015: оригинальное исправление целочисленного переполнения неэффективно . Поэтому даже после обновления рекомендуется проверить, не подвержен ли ваш телефон уязвимости, с помощью приложения от Zimperium (искатель проблемы Stagefright): приложение Zimperium Stagefright Detector
Если у вас уже есть root, попробуйте исправить, предложенное GoOrDie. Также посмотрите это руководство.
РЕДАКТИРОВАТЬ 3. Я пытался это исправить на Samsung S4 mini, и он не работал. Поэтому дважды подумайте, прежде чем рутировать свой телефон.
источник
Чтобы смягчить эту атаку, я отключил MMS-сообщения, так как я их все равно не использую. Вы можете сделать это в меню настроек. Выберите Сотовые сети> Имена точек доступа, выберите свою точку доступа и удалите «mms» из типа APN. Я также очистил MMSC.
(Нажмите на изображение, чтобы увеличить; наведите курсор на изображение, чтобы узнать инструкцию)
Порядок инструкций: следуйте изображениям слева направо в каждом ряду
Обратите внимание, что Android преобразует групповые SMS-сообщения в MMS-сообщения, поэтому вы можете отключить это. Для этого перейдите в приложение «Сообщения», откройте меню «Настройки» и отключите групповой обмен сообщениями и автозагрузку.
источник
Новейшая версия Hangouts устраняет эту проблему, похоже, что она выполняет некоторые дополнительные проверки перед передачей мультимедиа в системную службу. Однако это не решает основную проблему в системе.
Вы можете также отключить MMS автоматически получать в Hangouts через его
Settings
→SMS
→ снимите флажокAuto retrieve MMS
или Коммуникатор через егоSettings
→Advanced
→ отключитьAuto-retrieve
UnderMMS
. На этом сайте есть подробные шаги, если они вам нужны.источник
Эта проблема также влияет на веб-серфинг. Попробуйте отключить
media.stagefright
связанные свойства (если они есть) вbuild.prop
файле конфигурации.Смонтируйте корневой раздел как
rw
и отредактируйтеbuild.prop
. Установитеmedia.stagefright.enable-###
наfalse
Примечание: для этого требуется root-доступ .
источник
build.prop
.Компания Zimperium, которая сообщила об уязвимости, опубликовала дополнительную информацию об уязвимостях, связанных с Stagefright. , В магазине Google Play есть приложение, которое определяет наличие уязвимости на вашем устройстве. Очевидно, Samsung также опубликовал приложение, которое отключит MMS на устройствах Samsung, хотя его нет в Play Store.
источник
Поскольку MMS (Multi-Media-Messaging) является одним из нескольких способов запуска этого эксплойта, вы можете предотвратить это от эксплойтов MMS. Сценарий сам по себе не является подвигом. Stagefright - это мультимедийная библиотека, встроенная в платформу Android.
Вы можете использовать Textra SMS или Chomp SMS из Play Store, который утверждает, что он способен ограничить этот эксплойт . Оба приложения Textra и Chomp SMS разработаны Delicious Inc. , получили новые обновления, которые ограничивают работу видео MMS-сообщений сразу после их получения вашим устройством.
Из базы знаний Textra ,
По словам разработчика обоих приложений,
Как я могу защитить от Stagefright с помощью Textra?
Включите в
Stagefright Protection
настройках приложения Textra.Снимок экрана (Нажмите, чтобы увеличить изображение)
Вот что происходит, если вы активируете приложение Stagefright Protection и получаете сообщение об уязвимости Stagefright,
Снимок экрана (Нажмите, чтобы увеличить изображение)
Снимок экрана (Нажмите, чтобы увеличить изображение)
( Примечание: никакого известного эксплойта нет, и если бы оно было, его имя не было бы Stagefright, так как Stagefright - это просто название мультимедийной библиотеки, уязвимой для использования ).
Снимок экрана (Нажмите, чтобы увеличить изображение)
Нажатие
OKAY
кнопку приведет к отображению любого видео, которое вы собираетесь просмотреть, и все. Если упомянутое видео действительно содержит эксплойт, нацеленный на Stagefright, то оно, фактически, запустится в этот момент.Источник: Phandroid
Если вам интересно узнать, затронуты ли вы уже и являетесь ли вы жертвой использования Stagefright, скачайте это приложение Stagefright Detector из PlayStore, которое было выпущено zLabs (исследовательской лабораторией Zimperium), которая впервые сообщила об этой проблеме в Google.
Обновлено: [18-09-2k15]
10 августа компания Motorola официально выпустила исправление для системы безопасности Stagefright для проверки и опубликовала ее для провайдера. На форумах упоминается, что
И если вы используете Motorola и до сих пор не получили исправление безопасности, вы можете прочитать следующее, чтобы избежать угрозы безопасности от атаки:
Читайте больше на:
Как защититься от уязвимости stagefright?
Каковы другие векторы атаки для Stagefright?
источник
Рекламный MX Player утверждает, что воспроизводит видео без ошибок, связанных со сценой . Вам нужно выбрать все серые кнопки и все кнопки с синей галочкой, показанные на этих изображениях:
Вам также необходимо очистить настройки всех приложений Video Player по умолчанию, а затем выбрать MX Player в качестве приложения Player по умолчанию.
Отказ от ответственности: это приложение поставляется в двух версиях: одна бесплатная с рекламой , а другая "Pro" за 6,10 € . Я не связан с его авторами. Я не буду получать доход от этого поста. Я могу получить только определенное количество очков репутации.
Спасибо hulkingtickets за идею этого самого ответа.
источник