1 Mart 2014 Cumartesi

Android Cihazların %70'ini etkileyen açık

Rapid 7 Android cihazları uzaktan  kontrol edilebilecek Metasploit  modülü yayımladı.

Android WebView Interface de ki bu açık saldırganların uzaktan cihaza erişmesine izin veriyor. Fakat burda bitmiyor , saldırganlar kolayca kameranıza ,  dosya sisteminize ve Man in the Middle saldırısıyla uygulama güncellemelerinize trojan bulaştırarak cihazınızı zehirleyebiliyor. Bu durum yaklaşık olarak Android cihazların %70'ini etkiliyor çünkü bu cihazlar Android 4.2 den önceki versiyonları kullanıyorlar. Rapid 7'nin açıklamasından bir kesit .
This module exploits a privilege escalation issue in Android < 4.2′s WebView component that arises when untrusted Javascript code is executed by a WebView that has one or more Interfaces added to it. The untrusted Javascript code can call into the Java Reflection APIs exposed by the Interface and execute arbitrary commands. Some distributions of the Android Browser app have an addJavascriptInterface call tacked on, and thus are vulnerable to RCE. The Browser app in the Google APIs 4.1.2 release of Android is known to be vulnerable. A secondary attack vector involves the WebViews embedded inside a large number of Android applications. Ad integrations are perhaps the worst offender here. If you can MITM the WebView’s HTTP connection, or if you can get a persistent XSS into the page displayed in the WebView, then you can inject the html/js served by this module and get a shell. Note: Adding a .js to the URL will return plain javascript (no HTML markup).” reports Rapid7 in the page dedicated to the “exploit/android/browser/webview_addjavascriptinterface” module.

 Bu açığın bulunuşu ile açığın giderilmesi arasında ki zaman çok uzun , bu açık ilk olarak Aralık 2012 de bulunmuş fakat Google bunu Kasım 2013'de Android 4.2 versiyonunda düzeltmiştir.

Bu da konu hakkınnda ki Rapid 7 Videosu :

https://docs.google.com/file/d/0B3_TQgTE2uPcMkdBOExKNjh0N28/edit?pli=1

0 yorum:

Yorum Gönder

Twitter Delicious Facebook Digg Stumbleupon Favorites More