ИБ-специалисты создали набор утилит для дистанционного выполнения произвольного кода на Android-устройствах, в том числе Pixel.
На конкурсе Pwn2Own в 2017 году Google Pixel был единственным смартфоном, который участники не смогли взломать. Но специалисты Qihoo 360 выявили ряд уязвимостей, которые при их совместном использовании дают возможность дистанционно выполнять код на Pixel и других устройствах под управлением Android.
Инструмент, созданный экспертами, базируется на двух уязвимостях. Первая является уязвимостью несоответствия используемых типов данных в движке JavaScript с открытым исходником V8. Она может быть использована для дистанционного выполнения кода в изолированном обработчике Chrome. Специалисты Google устранили эту проблему в сентябре 2017 кода в рамках Chrome 61.
Вторая проблема касается модуля libgralloc в Android и ее можно использовать для того, чтобы выйти из окружения «песочницы». Эту уязвимость устранили в декабре минувшего года. Если использовать их вместе, то можно добавить произвольный код в процесс system_server. Для этого хакер должен принудить жертву посетить вредоносный сайт.
За создание набора утилит команда экспертов получила 105000 долларов в рамках проекта Android Security Rewards (ASR), а также 7500 долларов по программе поиска уязвимостей в Chrome.
