Metasploit schopen ovládnout až 70% Android zařízení

Zdroj: SOOM.cz [ISSN 1804-7270]
Autor: .cCuMiNn.
Datum: 3.3.2014
Hodnocení/Hlasovalo: 2.33/3

Společnost Rapid7 obdařila Metasploit novým modulem, který skrz zranitelnost v programovém rozhraní Android WebView umožňuje získat shell až na 70% zařízení s OS Android.

Zranitelnost se týká zařízení, na kterých běží Android nižší verze než 4.2. Bug ve WebView byl přitom znám již od prosince 2012, ale teprve v listopadu 2013 jej Google opravil právě v Androidu verze 4.2.

Nový modul využívá exploitu pro eskalaci práv v Android komponentě WebView, kde může nedůvěryhodný kód Javascriptu volat Reflection API Java a může tak spustit libovolné příkazy.
Některé Android Browser aplikace využívají addJavascriptInterface a jsou tak náchylnější k RCE. Je známo, že prohlížeč v Androidu 4.1.2, je zranitelný.
Sekundární vektor útoku zahrnuje přímo vložené WebView uvnitř velkého počtu aplikací pro Android. Tyto integrace jsou zde snad tím nejhorším zlem. Pokud je možné vyvolat MITM na HTTP připojení zobrazené ve WebView, nebo pokud je možné dostat na stránku zobrazenou ve WebView kód JavaScriptu skrz XSS zranitelnost, pak můžete na HTML / JS aplikovat tento nový modul v Metaspolitu a získat tak shell.

V souvislosti s problematikou zranitelností Android aplikací, bych také rád upozornil na nový seriál zaměřený na penetrační testování mobilních aplikací pro Android, jehož první díl právě vyšel na infosecinstitute.com.