Na Androidech byla zjištěna zranitelnost, která nese označení CVE-2022-0847. Jedná se o zranitelnost samotného kernelu Linuxu, stačí, abyste podvržené aplikaci zpřístupnili interní paměť telefonu. Následně dochází k eskalaci oprávnění, protože neprivilegované procesy mohou do kořenových procesů přímo vložit škodlivý kód, a tím tak v konečném důsledku získat právo roota.
Nutno dodat, že chyba Dirty Pipes nezasáhla jen svět smartphonů, ale prakticky všechny zařízení, v nichž běží Linux samotný nebo jeho deriváty. Tato chyba se objevila v kernelu ve verzi 5.8, a zůstává v něm až do dnešních dní. Většina Androidů je před touto chybou v bezpečí, na pozoru však musí být uživatelé těch telefonl, které se na trh dostaly rovnou s Androidem 12. A to splňují např. řady Galaxy S22 od Samsungu či Google Pixel 6. Konkrétně u našeho testovacího kusu Galaxy S22+ můžeme potvrdit přítomnost jádra 5.10.43.
Jak na Androidu zjistit verzi kernelu?
Přejděte do Nastavení - Informace o zařízení - Informace o softwaru, popř. přes Nastavení - O telefonu - Verze Androidu. Verzi kernelu hledejte pod položkou „Verze jádra“. Pokud je ve vašem případě verze vyšší nebo rovna verzi 5.8, je i vaše zařízení potenciálně ohroženo. Pokud máte verzi jádra nižší, žádná zranitelnost se vás netýká.
Google zatím neeviduje žádné skutečné ohrožení uživatelů Androidu, a tak chybu řeší poměrně vlažně. Zatím to vypadá, že nejblíže by mohla být opravena v dubnové aktualizaci zabezpečení. Na druhou stranu, vývojáři už přišli s celou spoustou konceptů, které ukazují, jak by mohly být smartphony v reálu ohroženy. A je zřejmě jen otázkou času, než si podobné postupy osvojí běžně dostupný malware, ransomware a stalkerware.
A jak se proti možnému zneužití zranitelnosti Dirty Pipes u svého smartphonu bránit? Než bude vydána záplata, neinstalujte si do svého Androidu aplikace, kterým nevěříte. Vodítkem mohou být nové či zcela neznámé aplikace, které mají podezřele vysoké nebo naopak velmi nízké hodnocení. Před instalací aplikací i tentokrát nezapomeňte, že si můžete přečíst komentáře ostatních uživatelů.
Zdroj cm4all
