Специалисты компании Zimperium zLabs обнаружили опасную уязвимость ОС Android. Она затрагивает устройства, использующие все версии операционной системы, начиная с Android 2.2 и заканчивая самой актуальной на текущий момент версией 5.1. Таким образом, масштаб проблемы более чем серьезен – под угрозой находится около 1 миллиарда смартфонов.

Уязвимость коренится в программной библиотеке Stagefright, системного инструмента Android, предназначенного для работы с видео. При появлении на устройстве нового видеофайла именно Stagefright отвечает за создание его превью. И специально созданный вредоносный видеофайл позволяет эксплуатировать уязвимость, дистанционно выполняя на устройствах произвольный код, инфицируя их вредоносным ПО, похищая данные и т.д. Организаторам атаки достаточно отправить потенциальной жертве MMS-сообщение с вредоносным видеофайлом. Причем получатель может даже не открывать этот файл – для эксплуатации уязвимости хватит и того, что он откроет само сообщение.

Zimperium zLabs уже известила корпорацию Google об уязвимости. Более того, в Google уже создали и необходимое обновление безопасности, устраняющее проблему. Однако говорить о том, что пользователи Android-устройств могут спать спокойно, не приходится. Проблема в том, что Android является открытой платформой, и своевременность ее обновлений зависит от доброй воли каждого конкретного производителя устройств. Очевидно, что владельцам Nexus беспокоиться не о чем – их устройства производит сама корпорация Google, и с обновлениями проблем не будет. А вот многие крупнейшие производители смартфонов проявляют, мягко говоря, нерасторопность там, где речь идет об обновлении ПО. Им элементарно выгоднее, чтобы пользователи покупали новые устройства, а не обновляли старые. И эксперты опасаются, что такой подход может привести к серьезным проблемам.

Ситуация усугубляется еще и тем, что в Zimperium zLabs считают себя свободными от обязательств, известив Google о проблеме. И специалисты компании намерены подробно рассказать о характере найденной уязвимости и способах ее эксплуатации на конференции по кибербезопасности DEF CON, которая открывается в Лас-Вегасе уже 1 августа.