Hlavní navigace

Kritická zranitelnost StrandHogg 2.0 dopadá na 1 miliardu přístrojů s Androidem

Sdílet

David Ježek 27. 5. 2020
StrandHogg 2.0

Skupina norských výzkumníků představila novou verzi zranitelnosti StrandHogg. Pod označením CVE-2020–0096 ukrytý StrandHogg 2.0 se přitom týká zhruba 1 miliardy zařízení s Androidem.

Původní verze této chyby byla odhalena loni v prosinci a týkala se způsobu, jakým funguje multitasking v Androidu. „Dvojka“ je sofistikovanější variantou. Týká se všech zařízení s Androidem, vyjma těch s nejnovější verzí Android 10/Q. To znamená zhruba 80 až 85 % všech Android zařízení, která mohou být napadnuta.

Chyba, resp. její nová forma zneužití, umožňuje útočníkovi povýšení práv natolik, že získá přístup k téměř všem aplikacím v zařízení, napadat přitom může všechny současně bez nutnosti přípravy konfigurace útoku pro každou z nich.

Útočník pak může například pracovat s SMS, fotkami, krást přihlašovací údaje, sledovat pohyb dle GPS, uskutečňovat i nahrávat telefonní hovory, aktivovat kameru i mikrofon atd. Napadený přitom nijak nepozná, že s jeho zařízením někdo manipuluje. Možnosti jsou poměrně široké, útok lze použít i k prolomení dvoufaktorového ověřování uživatele např. u bankovních aplikací (pokud ověřovací SMS chodí na stejný telefon).

Experti o chybě informovali Google loni v prosinci, Google pak vydal opravy, které dostali výrobci telefonů (a jiných zařízení s Androidem) v dubnu tohoto roku. To samozřejmě neřeší problém různých levných smartphonů, kde výrobci nevydávají pravidelné bezpečnostní aktualizace.

Našli jste v článku chybu?