Peranti Android Sebelum 5.0 Lolipop Terdedah Kepada Serangan Privilege Escalation

Kelemahan keselamatan yang ditemui pada sistem operasi Android sebelum versi 5.0 yang meletakkan setiap peranti Android pada risiko serangan privilege escalation attacks, telah dibaiki di Android 5.0 Lolipop.

Kelemahan keselamatan (CVE-2014-7911) yang ditemui oleh penyelidik keselamatan Jann Horn, membenarkan sebarang penyerang untuk melepasi pertahanan Address Space Layout Randomization (ASLR) dan melaksanakan sebarang kod pilihan dibawah keadaan tertentu. ASLR merupakan teknik yang melibatkan pertahanan daripada serangan buffer overflow.

Kecacatan ini yang bertempat di java.io.ObjectInputStream yang mana gagal untuk memeriksa samaada objek yang dinyahsiri adalah benar-benar boleh di sirikan. Kelemahan ini kemudian dilaporkan kepada kumpulan keselamatan Google awal tahun ini.

Menurut penyelidik keselamatan, applikasi android boleh berhubung dengan system_service, dimana beroperasi dibawah admin privilege(UID 1000) dan menggunakan Intents yang disertakan dengan Bundles, "ianya dipindahkan sebagai Parcels arraymap dan Parcels arraymap boleh mengandungi siri data." melalui cara ini, sebarang applikasi android boleh menyerang system_service.

Selepas mendengar ucapan di University mengenai kelemahan applikasi laman web PHP yang melibatkan nyahsiri kemasukan data yang dimasukkan penyerang, Horn terfikir mengenai pensirian dalam konteks lain, seperti applikasi android.

Berdasarkan anggapan bahawa Java memastikan class yang digunakan disirikan,  dan ObjectInputStream kadang-kala boleh menerima kemasukan yang tidak dipercayai, Horn mendapati jika pemaju android telah mengambil langkah berjaga-jaga bagi mengesahkan kemungkinan penyahsiri dibawah senario ini. "Saya pulang ke rumah, memeriksa, dan kelemahan itu terdapat disitu" Horn menulis didalam topik mengenai kelemahan keselamatan di Reddit.

"Bila ObjectInputStream digunakan dalam input yang tidak dipercayai, seorang penyerang boleh mencipta kewujudan segera sebarang class dengan constructor tanpa parameter yang tidak private." Kata penasihat keselamatan Horn. "Semua ruang kewujudan itu boleh ditetapkan dengan nilai sebarangan."

"Objek berniat jahat itu kemudian akan diabaikan atau disingkirkan menjadi objek yang tidak diperlukan, menganggap tiada kaedah yang akan dipanggil padanya dan tiada data darinya akan digunakan. Bagaimanapun, apabila dikumpul oleh GC, GC akan memanggil kaedah pengakhiran objek tersebut."

Dalam tujuan untuk menerangkan isu ini, penyelidik keselamatan menyediakan maklumat teknikal dan juga membangunkan proof-of-concept (PoC) yang merosakkan system_service. Sehingga sekarang, eksploit penuh bagi bug tersebut belum lagi dibina dan Horn sendiri tidak pasti kebolehan menjangka alamat susun atur system_service atau semudah manakah untuk menulis jumlah data yang besar ke timbunan system_service. Bagaimanapun, untuk mengeksploit kelemahan ini pada peranti sasaran, seseorang perlu memasang applikasi berniat jahat didalamnya.

Horn mendedahkan kelemahan itu kepada kumpulan pemaju Android pada 22 Jun dan selepas menyatakan kelemahan itu, pada 3 November, patch telah dikeluarkan untuk Android Lolipop sebagai salah satu bahagian kod daripada AOSP (Android Open Source Project). Bagaimanapun versi android sebelumnya masih terdedah dengan kelemahan ini.

Android 5.0 Lolipop merupakan sistem operasi mobil terbaru oleh Google, yang menerangkan Lolipop merupakan "pengeluaran Android terbesar setakat ini" dengan lebih dari 5,000 API baru. Tetapi pengguna Lolipop memberi amaran kepada yang lain supaya tidak segera menaiktaraf OS mobil mereka selepas mengalami kerosakan applikasi, crash yang berulang dan peranti yang perlahan.

Friday, November 21, 2014