Az Indiana Egyetem kutatói és a Microsoft Research egy munkatársa (Luyi Xing, Xiaorui Pan, Kan Yuan és XiaoFeng Wang, illetve Rui Wang) olyan sebezhetőségeket tártak fel az Android mobilos operációs rendszer frissítési technológiájában, mely szerintük gyakorlatilag az összes ilyen szoftvert futtató eszköznél lehetőséget ad támadók számára rosszindulatú programok telepítésére.

A rövidítéssel „felhalmozásnak, betárazásnak” (Pileup – privilege escalation through updating, kb. „privilégium-kiterjesztés a frissítésen keresztül”) elnevezett sebezhetőségtípus a jelentés szerint az Android Package Management Service-ben (PMS) található, és egy trükkel lehet kihasználni őket.

A régire az újat

A frissítési folyamat logikája szerint az új Android-verziókban vannak olyan hozzáférési engedélyek, melyek a korábbiakban nincsenek meg. Ha egy kártékony alkalmazást akarnak telepíteni a rendszerbe, akkor az új verziónál a rendszer riasztana a hozzáférési engedély kérése miatt, ám ha az adott engedélyt kérő fertőzött alkalmazást egy régebbi verzióba telepítik, ez gond nélkül végbemehet, ugyanis az az engedélykérési mód abban még nincs jelen, nem érvényes. Mivel frissítéskor az Android meghagyja a korábbi alkalmazásokat azok beállításaival, a rendszer update-jénél automatikusan megadja a kártékony alkalmazásnak is a hozzáférést, és erről a felhasználót nem is értesíti.

Más szavakkal szólva: a támadók nem az adott rendszer sebezhetőségét támadják, hanem a frissítési rendszerét, amikor „előre gondolkodva” a magasabb verzióra tervezik meg a malware-t, ami a frissítés után kezd működni. A kutatók példájával élve: a támadók az API segítségével megnézik, hogy az Android 4.0.4-ben működik a permission.ADD_VOICEMAIL engedély, majd ezt definiálják a régebbi, mondjuk az Android 2.3.6 verzióra, és így az alkalmazás telepíthető. Az app mindaddig veszélytelen, amíg a régi verzió fut, ám frissítés után sebezhetővé válik a rendszer, hiszen az alkalmazás különféle jogokat kap meg.

Már javítják

A kutatók egy saját fejlesztésű hibakereső szoftverrel hat ilyen „Pileup-sebezhetőséget” találtak, mindegyiket jelentették a Google-nak, és közülük egyet már javítottak is. A vizsgálat feltárta azt is, hogy a hiányosság az Android Open Source Project összes verziójában, illetve a Samsung, az LG és a HTC készülékein alkalmazott szoftverekben is megtalálható, és úgy becsülik, hogy a kockázat körülbelül egymilliárd készüléket érint.