Многие смартфоны, производимые LG, содержат уязвимость, позволяющую атакующему заменить безвредный APK-файл вредоносным.

Проблема вызвана рядом факторов. Как и другие производители, LG устанавливает на телефоны уникальные приложения, недоступные через Google Play. Эти приложения предустановлены и имеют свой отдельный механизм обновления, соединяющийся с сервером LG для скачивания нового кода. Исследователи из венгерской компании Search-Lab обнаружили, что процесс обновления этих приложений не проверяет SSL-сертификат безопасности, предоставляемый сервером, что открывает возможность для MitM-атаки.

«Поскольку новые приложения и/или их обновления устанавливаются через этот канал в виде APK-файлов, злоумышленник, не требуя подтверждения от пользователя, может воспользоваться этим функционалом для установки произвольных приложений на смартфон жертвы. Установленные им приложения смогут использовать любые разрешения (кроме требующих подписи системным ключом), что, по сути, позволит им обойти защиту платформы Android», — пишут эксперты Search-Lab.

Процесс обновления на смартфонах LG контролируется приложением Update Center, выходящим на связь с сервером lgcpm.com, когда приложениям требуются обновления. Оно устанавливает обновления автоматически; по словам исследователей, атакующий в MitM-позиции сможет при этом перехватить соединение и заменить целевое приложение вредоносным.

«В процессе обновления клиент просматривает поле appUrl, содержащее зашифрованную и закодированную в base64 URL-ссылку. Ключ шифрования симметричен и основан на поле certKey, также являющемся частью сообщения. Поскольку проверка целостности передаваемых сообщений не производится, атакующий может перехватить ответ на запрос об обновлении и заменить значение appUrl на URL, указывающий на потенциально вредоносный APK-файл, — говорят эксперты. — Таким образом, устройство без ведома пользователя скачает APK-файл с контролируемого атакующим ресурса. Подобное может произойти и в фоновом режиме, если Update Center посчитает, что доступна новая версия приложения LG».

Специалисты Search-Lab сообщили об уязвимости еще в ноябре прошлого года, отметив при этом, что вендор планирует устранить эту уязвимость только в новых моделях смартфонов, проигнорировав устаревшие. В качестве временного решения они предлагают отключить функцию Auto App Update на уязвимых смартфонах.

«Поскольку вендорам смартфонов требуется разрешение оператора связи для обновления приложений, в данном случае уязвимыми являются большинство моделей LG; компания приняла бизнес-решение и не будет ставить фикс для большинства своих клиентов, по крайней мере в ближайшее время», — пояснил Имре Рад (Imre Rad) из Search-Lab.

Представители LG заявили, что изучают предоставленный им отчет.

Категории: Уязвимости