Эксперты раскрыли подробности брешей в Amazon Fire Phone

Эксплуатация брешей позволяет осуществить перехват зашифрованного трафика и похитить данные с телефона.

Исследователи безопасности из компании MWR InfoSecurity опубликовали подробности трех уязвимостей, обнаруженных ими в Amazon Fire Phone. Устройство работает под управлением операционной системы Fire OS на базе модифицированной платформы Google Android.

Первые две бреши, выявленные специалистами, содержатся в пакете CertInstaller. Первая из них, возникшая из-за модификации стандартного пакета Android CertInstaller, позволяет сторонним приложениям устанавливать цифровые сертификаты без ведома пользователя, чем могут воспользоваться злоумышленники с целью перехвата зашифрованного трафика в ходе атаки «человек посередине». Вторая уязвимость возникла в результате некорректного использования функций проверки идентификатора пользователя и так же, как и первая, позволяет вредоносным приложениям устанавливать цифровые сертификаты.

Третья брешь, описанная специалистами из MWR, связана с многофункциональной утилитой Android Debug Bridge (ADB), используемой для отладки Android-устройств. Функция безопасной USB-отладки (USB Debugging) появилась в версии Android 4.2.2. Проблема заключается в том, что в Fire OS не реализован вышеуказанный функционал, что позволяет злоумышленникам при помощи ADB получить доступ к устройствам, на которых активирована функция USB-отладки. По словам экспертов, эксплуатация бреши позволяет обойти блокировку экрана, установить и деинсталлировать приложения, а также похитить данные с телефона.

Компания Amazon уже выпустила корректирующее обновление Fire OS 4.6.1, устраняющее вышеуказанные проблемы.

Tweet