Что нового

News Баг позволяющий злоумышленникам взломать Firefox для Android через сеть Wi-Fi

Vander 0

Vander

Команда форума
10.11.2019
444
987
1600802185926.png

Уважаемые пользователи Android, если вы используете веб-браузер Firefox на своих смартфонах, убедитесь, что он обновлен до версии 80 или последней доступной версии в магазине Google Play.

Исследователь безопасности ESET Лукас Стефанко написал в Твиттере предупреждение, демонстрирующее использование недавно обнаруженной уязвимости, удаленного выполнения команд с высоким риском, затрагивающей приложение Firefox для Android.

Обнаруженная уязвимость находится в движке SSDP браузера, который может быть использован злоумышленником для нацеливания на смартфоны Android, подключенные к той же сети Wi-Fi, что и злоумышленник, с установленным приложением Firefox.

SSDP - расшифровывается как Simple Service Discovery Protocol, - это протокол на основе UDP, который является частью UPnP для поиска других устройств в сети. В Android Firefox периодически отправляет сообщения обнаружения SSDP на другие устройства, подключенные к той же сети, в поисках устройств второго экрана для трансляции.

Любое устройство в локальной сети может ответить на эти широковещательные рассылки и предоставить местоположение для получения подробной информации об устройстве UPnP, после чего Firefox пытается получить доступ к этому местоположению, ожидая найти файл XML, соответствующий спецификациям UPnP.

Согласно отчету об уязвимостях, представленному Moberly команде Firefox, механизм SSDP браузеров Firefox жертв можно обманом заставить запускать intent-команды Android, просто заменив местоположение XML-файла в ответных пакетах специально созданным сообщением, указывающим на Android URI контент.

Для этого злоумышленник, подключенный к целевой сети Wi-Fi, может запустить вредоносный сервер SSDP на своем устройстве и запускать intent-команды на близлежащих устройствах Android через Firefox - без какого-либо взаимодействия со стороны жертв.

Действия, разрешенные intent-командами, также включают в себя автоматический запуск браузера и открытие любого определенного URL-адреса, что, по мнению исследователей, достаточно, чтобы обмануть жертв, чтобы они предоставили свои учетные данные, установили вредоносные приложения и другие вредоносные действия на основе окружающих сценариев.

«Цель просто должна иметь приложение Firefox, работающее на своем телефоне. Им не нужно получать доступ к каким-либо вредоносным веб-сайтам или щелкать какие-либо вредоносные ссылки. Не требуется установка злоумышленника посередине или вредоносного приложения. Они могут просто потягивать кофе, находясь в Wi-Fi кафе, и их устройство начнет запускать URI приложений под контролем злоумышленника », - сказал Моберли.

«Его можно было использовать аналогично фишинговым атакам, когда вредоносный сайт навязывается на цель без их ведома в надежде, что они введут некоторую конфиденциальную информацию или согласятся установить вредоносное приложение».

Несколько недель назад Moberly сообщил об этой уязвимости команде Firefox, которую производитель браузера исправил в Firefox для Android версий 80 и более поздних.
 
Верх Низ