นักวิจัยด้านความปลอดภัยชาวสหรัฐอเมริกาได้เผยแพร่โค้ด proof-of-concept บน GitHub สำหรับ CVE-2019-2215

ในช่วงต้นเดือนตุลาคม 2019 ที่ผ่านมามีการเปิดเผยช่องโหว่ CVE-2019-2215 โดยนักวิจัยจาก Google Project Zero ซึ่งช่องโหว่นี้กำลังถูกใช้โจมตีอยู่ ซึ่งนักวิจัยได้เปิดเผยโค้ด proof-of-concept (PoC) ด้วย แต่มีข้อจำกัดคือสามารถอ่านหรือเขียนบน kernel เท่านั้น

ซึ่งข้อจำกัดดังกล่าวทำให้ผู้ที่สนใจจะทดลองใช้โค้ดดังกล่าวเพื่อโจมตีต้องหาวิธีเพิ่มเติมในการหลบหลีกการป้องกัน Android kernel เอาเอง

แต่ล่าสุด Grant Hernandez นักศึกษาระดับปริญญาเอกของ Florida Institute of Cyber Security ได้ออกมาเผยแพร่โค้ดที่รวมเอาความสามารถในการหลบหลีกมาแล้ว ชื่อ Qu1ckR00t

Qu1ckR00t สามารถข้าม DAC (Discretionary Access Control) และ Linux Capabilities (CAP) นอกจากนี้ยังสามารถปิดใช้งาน SELinux (Linux-Enhanced Security), SECCOMP (Secure Computing Mode) และ MAC (Mandatory Access Control)

ผลลัพธ์ที่ได้คือ Qu1ckR00t จะทำให้ได้สิทธิ root บนอุปกรณ์แอนดรอยด์ ซึ่งโค้ดที่เผยแพร่ใน GitHub ของ Grant Hernandez เป็น source code ที่ต้อง compile เป็น APK เอง ซึ่งเมื่อลง APK บนเครื่องแล้วจะสามารถ root เครื่องได้เพียงแค่การกดในครั้งเดียว

Hernandez กล่าวว่าเขาได้ทดสอบ Qu1ckR00t ด้วยโทรศัพท์มือถือ Pixel 2 เท่านั้นและเตือนผู้ใช้ที่ไม่มีประสบการณ์ว่าอาจทำให้เครื่องพังแบบซ่อมไม่ได้ (brick) และข้อมูลหาย

ข้อเสียของการเผยแพร่เครื่องมือ Qu1ckR00t ในครั้งนี้ทำให้ผู้เขียนมัลแวร์สามารถนำโค้ดไปประยุกต์ใช้กับมัลแวร์เพื่อให้ได้สิทธิ์ root ได้

เพื่อลดความเสี่ยง ผู้ใช้งานควรอัปเดตแพตช์ ซึ่ง CVE-2019-2215 ถูกแก้ไขแล้วในแพตช์ประจำเดือนตุลาคม 2019 ของ Android และไม่ติดตั้งแอป APK ที่ไม่แน่ใจว่าปลอดภัยหรือไม่

ที่มา zdnet

 

Google ได้เปิดตัวการแก้ไขสำหรับช่องโหว่ที่มีความรุนแรงระดับ critical สามจุดใน Media framework ของระบบปฏิบัติการ Android ซึ่งถูกใช้โจมตีด้วยการรันคำสั่งจากระยะไกลได้

ช่องโหว่ remote code execution (RCE) เป็นส่วนหนึ่งของแพตช์อัปเดตความปลอดภัยระบบปฏิบัติการ Android ประจำเดือนตุลาคม 2019 ของ Google ซึ่งการแก้ไขช่องโหว่ระดับ critical และ high เชื่อมโยงกับ CVE ทั้งหมด 9 หมายเลข นอกจากนี้ Qualcomm เป็นผู้ผลิตชิปที่ใช้ในอุปกรณ์ Android ได้ทำการแก้ไขช่องโหว่ที่มีความรุนแรงระดับ critical และ high 18 จุด

จุดบกพร่องระดับ critical สามข้อที่ Google ออกแพตช์ (CVE-2019-2184, CVE-2019-2185, CVE-2019-2186) มีอยู่ใน Media framework Android ซึ่งใช้ในการรองรับการเล่นสื่อประเภทต่าง ๆ ในระบบปฏิบัติการ Android 7.1.1, 7.1.2, 8.0, 8.1 และ 9 จะได้รับผลกระทบโดยเฉพาะจากข้อบกพร่องเหล่านี้

Google กล่าวว่าช่องโหว่เหล่านี้สามารถใช้โจมตีจากระยะไกลได้ โดยผู้โจมตีจะใช้ไฟล์ที่ออกแบบมาเป็นพิเศษเพื่อรันโค้ดอันตรายบนเครื่องของเหยื่อเมื่อเหยื่อเปิดไฟล์ ขณะนี้ยังไม่พบการโจมตี

สามารถศึกษารายละเอียดช่องโหว่ทั้งหมดที่ได้รับการอัปเดตได้จาก android และ qualcomm

ที่มา threatpost

ช่องโหว่สามารถทำการโทรผ่าน Voice-over-IP (VoIP) ได้โดยไม่ได้รับอนุญาต ปลอมเบอร์โทร ปฏิเสธการโทร และแม้แต่ใช้โค้ดอันตรายบนอุปกรณ์ของผู้ใช้

มีการทดสอบช่องโหว่แล้วในระบบ Android 7.0 (Nougat) จนถึง 9.0 (Pie) นักวิจัยได้พบและรายงาน 9 ช่องโหว่ต่อ Google โดยมี 8 ช่องโหว่ที่มีผลต่อระบบเบื้องหลัง VoIP ของแอนดรอย์ ขณะที่ช่องโหว่ที่ 9 มีผลต่อแอป third-party

ด้านล่างนี้เป็นรายละเอียดของ 9 ช่องโหว่ :

เริ่มการโทร VoIP ในแอป VK
บัคนี้พบใน API ตอบโต้กับแอป Official VK (vKontakte) ที่สามารถยอมให้แอปอื่นๆ ที่ติดตั้งบนเครื่องสามารถเพื่อเริ่มการโทร VoIP ด้วยแอป VK และดักฟังการสนทนาของเจ้าของโทรศัพท์ได้ การโจมตีนี้ไม่ต้องการ user interaction แต่ต้องเข้าถึงเครื่องได้ก่อน เหมาะกับการนำไปใช้ร่วมกับ Android spyware, remote access trojans (RAT) และมัลแวร์บนแอนดรอยด์อื่นๆ ที่เข้าถึงเครื่องได้แล้ว
โอนสายโดยไม่ได้รับอนุญาตในอินเตอร์เฟซ LMS
บนอุปกรณ์ที่มีแอปอันตรายสามารถใช้ local privileged APIs (ในองค์ประกอบ QtilMS VoIP) เพื่อโอนสายที่โทรเข้ามาโดยไม่ได้รับอนุญาตเพื่อโจมตีอุปกรณ์ โดยปัญหานี้ถูกแก้ไขแล้วเมื่อปี 2017
ไม่สามารถปฏิเสธการโทร VoIP เนื่องจาก LONG SIP Name
ผู้โจมตีสามารถเริ่มการโทรถึงเหยื่อโดยใช้ long SIP name (1,043 ตัวอักษร) SIP name จะขึ้นบนเต็มหน้าจอโทรศัพท์และป้องกันไม่ให้พวกเขารับหรือปฏิเสธการโทรในเวลาสำคัญได้ เช่น เมื่อกำลังดำเนินการโจมตี ถือว่าเป็นประเภทหนึ่งของ DoS (Denial of Service) ถูกเรียกว่า VoIP call bomb คล้ายกับ SMS bomb โดยใน Android ปัจจุบัน Google ได้กำหนดขนาด SIP name ใน VoIP เพื่อป้องกันปัญหานี้
remote DoS ในระบบเมื่อมีการรับสาย
ผู้โจมตีสามารถใช้รูปแบบแพ็คเกต SDP เพื่อทำให้อุปกรณ์เหยื่อทำงานล้มเหลวเมื่อมีการรับสาย ซึ่งถูกแก้ไขแล้วในปี 2017
Remote execution code เนื่องจาก STACK BUFFER OVERFLOW
ข้อผิดพลาดร้ายแรงที่สุด (CVE-2018-9475) ถูกแก้ไขใน Android Oreo เมื่อ 2018 สิ่งนี้เป็นการทำ remote code execution (RCE) เป็นปัญหาที่ยอมให้ผู้โจมตีสามารถรันโค้ดอันตรายบนอุปกรณ์จากระยะไกลด้วยการโทร VoIP โดยทำให้เกิด stack buffer overflowได้ถ้าชื่อผู้ใช้ (หรือหมายเลขผู้โทร) ในการโทร VoIP มีมากกว่า 513 ไบต์
ช่องโหว่นี้ยอมให้ผู้ไม่หวังดีเขียนทับการส่งกลับที่อยู่ของฟังก์ชัน ClccResponse ที่ทำให้เกิด remote code execution
Remote DoS ใน Bluetooth เมื่อมีสายเรียกเข้า
มันสามารถทำให้การโทร VoIP ด้วยหมายเลขการโทรยาวๆ แต่บัคนี้จะให้โทรศัพท์ทำงานล้มเหลวเท่านั้น ซึ่งไม่ได้ยอมให้ผู้โจมตีรัน code บนอุปกรณ์แต่อย่างใด
ข้อมูลรั่วไหลและ DoS ถาวร เนื่องจาก PATH TAVERSAL
นี่เป็นการทำงานโดยการติดตั้งแอปอันตรายอื่นบนอุปกรณ์ อย่างไรก็ตามบัคนี้ค่อนข้างร้ายแรง มันเป็นปัญหา PATH TRAVERSA ดั้งเดิมที่เกิดขึ้นเพราะ SIP protocol และภัยคุกคามของ Android ตัวอักษร “..” และ “/” มีความแตกต่างกัน
การปลอมเป็นผู้โทรเนื่องจากการประมวลความหมายของสัญลักษณ์ “&” ผิด
ช่องโหว่นี้เกิดจากรูปแบบหมายเลข PSTN (Public Switched Telephone Network) ที่ไม่ใช่บัญชีสำหรับตัวอักษร “&”
สายเรียกเข้า VoIP ที่มี “&” ทำให้ระบบ Android อ่านเฉพาะหมายเลขก่อนตัวอักษร แต่ไม่อ่านเลยหลังจากนั้น ทำให้ง่ายต่อการปลอมตัว
การปลอมเป็นผู้โทรเนื่องจาก "PHONE-CONTEXT"
ช่องโหว่เกิดจากรูปแบบหมายเลข PSTN เช่นกัน แต่ครั้งนี้มันเกิดด้วย "phone-context" PSTN พารามิเตอร์ ตัวอย่างเช่น ในการสื่อสารของ PSTN หมายเลข “650253000;phone-context=+1" จะเท่ากับ "+1650253000" กล่าวคือค่าของ "phone-context" คือค่านำหน้าของหมายเลข อย่างไรก็ตามการสื่อสารนี้ไม่ได้ถูกใช้ในการโทร VoIP โดยแอปการโทรไม่ได้ใส่ใจมัน ทำให้ผู้ไม่หวังดีกำหนดหมายเลขการโทรเป็น "650253000;phone-context=+1", และแอปการโทรจะแปลเป็น "+1650253000" ซึ่งแสดงว่าเป็นการโทรของ Google

เอกสารฉบับเต็มมีชื่อว่า "Understanding Android VoIP Security: A System-level Vulnerability Assessment" หากสนใจอ่านเพิ่มเติมสามารถดาวน์โหลดได้ ที่นี่

ที่มา : zdnet

เกมสยองขวัญในแอนดรอยด์ขโมยข้อมูลผู้ใช้งาน

นักวิจัยจาก Wandera พบพฤติกรรมที่เป็นอันตรายจากเกม Scary Granny ZOMBYE Mod: The Horror Game 2019 (Scary Granny) โดยพบการขโมยข้อมูลเข้าสู่ระบบ Google และ Facebook ของเหยื่อ แล้วเข้าสู่ระบบในชื่อบัญชีของเหยื่อเพื่อดูดข้อมูลต่อไป เกม Scary Granny ลอกเลียนแบบมาจากเกม Granny ซึ่งเป็นเกมที่ได้รับความนิยม ในปัจจุบันมีการติดตั้งมากกว่า 100 ล้านครั้ง

เกม Scary Granny สามารถเล่นเกมได้จริง โดยมีเหยื่อหลงติดตั้งไปกว่า 50,000 ครั้งก่อนจะมีการลบออกเมื่อวันที่ 27 มิถุนายนจาก Play Store

เมื่อทำการติดตั้งเกม Scary Granny นักวิจัยจาก Wandera พบว่าตัวเกมจะชะลอการแสดงกิจกรรมที่เป็นอันตรายใด ๆ เป็นเวลาถึงสองวันหลังจากการติดตั้ง โดยจะเปิดการใช้งานตัวขโมยข้อมูลเฉพาะบนแอนดรอยด์รุ่นเก่า เกมจะมีการขอสิทธิ์ในการเปิดเกมแม้ว่าเครื่องทำการรีสตาร์ท ซึ่งหากผู้ใช้อนุญาต เมื่อรีสตาร์ทแล้วจะมีหน้าให้ทำการ update หลังจากที่กดแล้วจะหน้าลงชื่อเข้าใช้ที่มีความคล้ายกับของจริงแต่มีการสะกดคำที่ผิด เมื่อผู้ใช้หลงกรอกข้อมูลเข้าสู่ระบบ Google แล้ว จะมีการเข้าสู่ระบบในชื่อบัญชีของเหยื่อเพื่อรวบรวมข้อมูลเพิ่มเติม เช่น อีเมลกู้คืน หมายเลขโทรศัพท์ รหัสยืนยัน วันเกิด คุกกี้ และโทเค็น มีการแสดงโฆษณาที่ทำการแปลงตัวให้เหมือน App อื่นเช่น Amazon, Facebook, Facebook Lite, HaGo, Hulu, Instagram, Messenger, Pinterest, SnapChat, TikTok หรือ Zalo เพื่อขโมยข้อมูลในบริการอื่นๆ และนอกจากนี้ตัวเกมยังมีการหากำไรเพิ่มโดยเสนอให้ผู้ใช้งานจ่ายเงินเพื่อเล่นเกมเป็นเงิน 22 ดอลลาร์สหรัฐ

ที่มา: www.

แพตช์ช่องโหว่ Android ประจำเดือนมิถุนายน 2562 มาแล้ว ทั้งหมด 22 ช่องโหว่ถูกแพตช์

Google ประกาศแพตช์ด้านความปลอดภัยสำหรับ Android ประจำเดือนมิถุนยายน 2562 วันนี้โดยมีช่องโหว่ระดับวิกฤติ (critical) จำนวน 8 ช่องโหว่จากทั้งหมด 22 ช่องโหว่ที่ถูกแพตช์ในรอบนี้

สำหรับช่องโหว่ร้ายแรงระดับวิกฤติ คอมโพเนนต์ของระบบที่ยังคงปรากฎช่องโหว่เหล่านี้เป็นจำนวนมากยังได้แก่ส่วนที่เป็น Media Framework ซึ่งผู้โจมตีสามารถสร้างไฟล์ซึ่งเมื่อถูกประมวลผลด้วย Media Framework จะทำให้ผู้โจมตีสามารถรันโค้ดที่เป็นอันตรายได้ อีกหนึ่งช่องโหว่มาจากส่วน System ในโมดูลที่เกี่ยวข้องกับไฟล์ PAC และส่วนที่เหลือเป็นช่องโหว่ระดับวิกฤติจากคอมโพเนนต์ของ Qualcomm

ผู้ใช้งานสามารถรับแพตช์ได้ทันทีตั้งแต่วันนี้เป็นต้นไป โดยความช้า-เร็วในการรับแพตช์จะขึ้นอยู่กับผู้ผลิตในแต่ละราย ข้อมูลเกี่ยวกับช่องโหว่แบบมีรายละเอียดครบถ้วนสามารถตรวจสอบได้ที่ https://source.

Google ได้ทำการแก้ไข 2 ช่องโหว่สำคัญ (critical) ที่เกี่ยวกับ remote code execution และช่องโหว่ระดับความรุนแรงสูง (high) 9 ช่องโหว่ ที่เกี่ยวกับการยกระดับสิทธิ์ และช่องโหว่การเปิดเผยข้อมูล ของ Android Open Source Project (AOSP) ซึ่งเป็นแหล่งรวบรวมข้อมูล และ Source Code สำหรับให้นักพัฒนา Android นำไปใช้งาน เมื่อช่วงต้นเดือนที่ผ่านมา

CVE-2019-2027 และ CVE-2019-2028 เป็นช่องโหว่ที่สำคัญที่ส่งผลกระทบต่อ Media framework ซึ่งอาจทำให้ผู้โจมตีสามารถสั่งรันโค้ดอันตรายบนระบบได้ ส่งผลกระทบต่อ Android 7.0 หรือใหม่กว่าทั้งหมด ช่องโหว่อีก 9 ช่องโหว่เป็นการยกระดับสิทธิ์เพื่อเปิดเผยข้อมูล (CVE-2019-2026) ส่งผลกระทบต่ออุปกรณ์ Android 8.0 หรือใหม่กว่า ผู้ใช้งานควรทำการอัพเดตแพทซ์ล่าสุดเพื่อลดความเสี่ยง

ที่มา: bleepingcomputer.

Google ออกแพตช์ความปลอดภัยให้กับ Android

Google ได้ออกแพตช์เพื่อแก้ไขช่องโหว่ให้กับระบบ Android ในปี 2019 แล้วสองแพตช์คือ 2019-01-01 patch level และ 2019-01-05 security patch level

2019-01-01 patch level มีการแก้ไขช่องโหว่ทั้งหมด 13 ช่องโหว่ โดยช่องโหว่ที่สำคัญคือช่องโหว่ CVE-2018-9583 มีผลกระทบร้ายแรงมาก (critical) เป็นช่องโหว่ที่ทำให้ผู้ไม่หวังดีสามารถโจมตีด้วยการส่งคำสั่งให้ทำงานจากระยะไกลได้

2019-01-05 security patch level มีการแก้ไขช่องโหว่ทั้งหมด 14 ช่องโหว่ โดยช่องโหว่ที่สำคัญคือช่องโหว่ CVE-2018-11847 มีผลกระทบร้ายแรงมาก (critical) เช่นกัน เป็นช่องโหว่ในส่วนของ Qualcomm ที่ทำให้แอปที่มีคำสั่งอันตรายบนเครื่องสามารถรันคำสั่งอันตรายได้

ผู้ใช้งานควรตรวจสอบและทำการอัปเดตรุ่นของระบบ Android ให้เป็นปัจจุบันเพื่อลดความเสี่ยง

ที่มา : securityaffairs

Google ได้ปล่อยแพทช์รักษาความปลอดภัยเดือนกันยายนปี 2018 สำหรับ Android ซึ่งแก้ไขปัญหาได้มากกว่า 50 ช่องโหว่

แพทช์รักษาความปลอดภัย Android ในเดือนกันยายน 2018 แบ่งออกเป็นสองส่วนคือระดับแพทช์การรักษาความปลอดภัย 2018-09-01 ซึ่งสามารถแก้ไขข้อบกพร่องได้ 24 ข้อและแพทช์ความปลอดภัย 2018-09-05 ซึ่งมีข้อบกพร่องทั้งหมด 35 ข้อ

มี 5 ช่องโหว่ในแพทช์รักษาความปลอดภัย 2018-09-01 ได้รับการจัดอันดับความรุนแรง Critical 3 ช่องโหว่เป็นปัญหาเรื่องการยกระดับสิทธิพิเศษที่มีผลต่อระบบ ในขณะที่ส่วนที่เหลืออีก 2 ข้อเป็นช่องโหว่ในการเรียกใช้โค้ดจากระยะไกลใน Media framework

Google ยังกล่าวถึงช่องโหว่ที่มีความเสี่ยงสูงใน Android runtime, Framework, Library, Media framework และ System รวมถึงปัญหาความรุนแรงระดับปานกลาง 2 เรื่องใน Media framework and System ซึ่งช่องโหว่ดังกล่าวส่วนใหญ่จะส่งผลกระทบต่อ Android เวอร์ชัน 7.0, 7.1.1, 7.1.2, 8.0, 8.1 และ 9.0 แต่มีเพียงบางส่วนเท่านั้นที่พบว่ามีผลต่อ Android 8.0 และแพลตฟอร์มใหม่ ๆ

35 ช่องโหว่ในแพทช์รักษาความปลอดภัย 2018-09-05 ซึ่ง 6 ช่องโหว่อยู่ในระดับความรุนแรง Critical, 27 ช่องโหว่อยู่ในระดับความรุนแรง High และ 2 ช่องโหว่ถือว่าเป็นความรุนแรงปานกลาง ซึ่งเป็นช่องโหว่ใน Framework, Kernel components, และ Qualcomm components

ที่มา : securityweek

Google ติดตามการเคลื่อนไหวของผู้ใช้งานได้ตลอดเวลาจากฟีเจอร์ Location

ในทุกครั้งที่มีการใช้งานแอปพลิเคชั่นยอดนิยมอย่าง Google Maps ผู้ใช้จำเป็นต้องเปิดฟีเจอร์ค้นหาตำแหน่งหรือ Location เพื่อระบุตำแหน่ง ซึ่งในการเปิดใช้งานฟีเจอร์ Location ทุกครั้งจำเป็นต้องได้รับความยินยอมจากผู้ใช้งานเพื่อค้นหาเส้นทางและเมื่อสิ้นสุดการใช้งานผู้ใช้ส่วนใหญ่จะทำการปิดฟีเจอร์ Location ไว้ชั่วคราวเพื่อความเป็นส่วนตัวของผู้ใช้ในการใช้งาน แต่จากการตรวจสอบล่าสุดแสดงให้เห็นว่าทาง Google ยังมีการติดตามผู้ใช้งานอยู่ตลอดเวลา

Associated Press เปิดเผยว่าบริการของ Google จำนวนมากบนอุปกรณ์ Android และ iPhone ทำการเก็บข้อมูล Location ของผู้ใช้ไว้ใน "Location History" บนโทรศัพท์มือถือของผู้ใช้แม้ว่าจะมีคำสั่งหยุดการทำงาน Location ชั่วคราวก็ตาม ปัญหาดังกล่าวส่งผลกระทบกับผู้ใช้งาน Android ประมาณสองพันล้านรายและผู้ใช้งาน iPhone นับร้อยล้านคนทั่วโลกที่ใช้งานแอพพลิเคชั่น Google Map ในการค้นหาเส้นทาง

หากผู้ใช้งานไม่ต้องการให้ Google ติดตามการเคลื่อนไหวได้ตลอดเวลา ผู้ใช้สามารถตั้งค่าให้ปิดการใช้งาน "Location History" ได้

ที่มา : thehackernews

นักวิจัยด้านความปลอดภัยนำเสนอช่องโหว่กว่า 47 ช่องโหว่ในเฟิร์มแวร์และอีก 25 ช่องโหว่ในแอปพลิเคชันบนระบบปฏิบัติการ Android ในงานประชุมด้านความปลอดภัย DEF CON ที่ลาสเวกัส

ช่องโหว่ที่พบมีความรุนแรงตั้งแต่ทำให้อุปกรณ์ทำงานผิดพลาดเล็กน้อยไปจนถึงช่องโหว่ร้ายแรงที่ทำให้ได้รับสิทธิ์ root ของอุปกรณ์ ซึ่งหากมีผู้โจมตีด้วยช่องโหว่ร้ายแรงจะสามารถเข้าถึงข้อมูลเรียกดูหรือส่งข้อความ SMS จากโทรศัพท์ของผู้ใช้, ถ่ายภาพหน้าจอหรือบันทึกวิดีโอจากหน้าจอโทรศัพท์เรียกดูรายชื่อผู้ติดต่อของผู้ใช้ บังคับให้ติดตั้งแอพพลิชันโดยพลการโดยไม่ต้องใช้การยินยอมจากผู้ใช้ หรือแม้แต่ลบข้อมูลทั้งหมดของผู้ใช้ออกจากอุปกรณ์

ช่องโหว่เหล่านี้ถูกค้นพบในแอปพลิเคชันเริ่มต้นที่ติดตั้งไว้ล่วงหน้าบนอุปกรณ์และอยู่ในเฟิร์มแวร์ของไดรเวอร์หลักที่ไม่สามารถลบออกได้ ซึ่งยี่ห้อของสมาร์ทโฟนที่พบช่องโหว่ดังกล่าวได้แก่ ZTE, Sony, Nokia, LG, Asus, Alcatel, Vivo, SKY, Plum, Orbic, Oppo, MXQ, Leagoo, Essential, Doogee และ Coolpad

ที่มา : bleepingcomputer