Chyba v Chrome ohrožuje miliony Android zařízení

Na hackerské soutěži Mobile Pwn2Own konané v rámci bezpečnostní konference PacSec v Tokiu demonstroval Guang Gong z Qihoo 360, jak lze na poslední verzi Androidu kompletně ovládnout systém exploitováním zranitelnosti v implementaci JavaScript v8 v prohlížeči Chrome. [CSIRT.CZ]

16.11.2015 13:10 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[petr_p]

Od kdy je spuštění uživatelského procesu ovládnutí systému? Nota bene v systému, kde každá aplikace běží pod jiným uživatelem?

[Ladislav Hagara]

Z PoC:
Through this vulnerability, normal Apps in Android can corrupt the heap in media_server.
By manipulating the heap carefully, normal Apps can get media_server permission.

[Olaf]

Jsem zklamán, že BB končí (úplně?) s BB OS 10 a nové telefony budou jen (?) s Androidem. Škoda. Poslední schopný OS zůstává, želvědě, iOS...

[Milan]

A kdo používá CHROME nebo vestavěný prohlížeč??? Jen blázen....

[Sid]

A co pouzivate vy ak sa smiem spytat? Lebo by som povedal, ze vasa jedina ochrana je to, ze pouzivate nieco co ma minimalne rozsirenie.

[Bedňa]

Chrome je uzavretý a nemáš šancu vedieť aké sú tam zadné dvierka. Osobne keby som robil uzavretý softvér tak tam určite zdné dvierka budú a ver tomu že v každom closet aj sú. Takže bugy ťa trápiť nemusia. Inak FF má tých rozšírení určite viac.

[Jendа]

Tak jsou zdrojáky ke Chromiu. Podle mě to není zas o tolik horší než nereproducibilní buildy Firefoxu. Který je svobodný a taky šmíruje o sto šest.

Podle mě na tom ale tolik nesejde vzhledem k tomu, že šmíruje celý Android. Browser už to nevytrhne. Naopak by měl být člověk rád, že při používání Chrome/Chromia na Androidu dostane ty informace Google, který už je stejně má, zatímco při používání Firefoxu je dostane druhá organizace .

[Bedňa]

Priateľu, keby to celé Mozzila uzavrela, tak by sa to zlepšilo? Nejak by sa zlepšila kontrola na kódom, bolo by to celě bezpečnejšie? Hneď od tejto minúty začnem používať prehliadač ktorý dokáže to čo FF a bude mať všetko otvorenejšie a slobodnejšie.

Jako sranda fajn, no realita je taká že nebiť FF, tak tu nemáme kopec slobodných technológií a to nemyslím len prehliadač.

[Jendа]

Priateľu, keby to celé Mozzila uzavrela, tak by sa to zlepšilo?

Nejspíš ne.

Hneď od tejto minúty začnem používať prehliadač ktorý dokáže to čo FF a bude mať všetko otvorenejšie a slobodnejšie.

Já jsem nepsal, že znám lepší prohlížeč. Osobně si myslím, že pro dnešní JavaScriptem vykreslované stránky prostě dobrý prohlížeč udělat nelze.

[mirec]

Kým sú technológie v takom stave v akom sú budú sa písať aplikácie tak blbo ako sa píšu. Žiaľ.

Napríklad také cookies. Keby document.cookie nenavrhovala banda idiotov nikto by nemal dôvod používať veľkú knižnicu kvôli cookies. Stačilo by keby existovali funkcie document.cookie.set a document.cookie.get, ale nie, niekto bol idiot a navrhol tak, že document.cookie je string. Keď nastavím cookie browser to musí parsovať. Keď chcem zmeniť hodnotu cookie musím parsovať čo je v document.cookie. Namiesto toho aby sa urobilo jednoduché rozhranie tu každý kto používa cookies musí buď písať funkcie na blbé parsovanie cookies a skladanie cookie stringu, alebo použije rovno knižnicu. To nie je ojedinelý prípad.

Také queryBySelector museli mať prehliadače interne implementované od dôb kedy existuje CSS. Prečo nikoho nenapadlo sprístupniť selectory od začiatku, ale museli kvôli tomu vzniknúť knižnice ako jQuery.

Vlastne všetko je celé zle. Samotný jazyk bol od začiatku katastrofálny. Ako môže niekto normálny urobiť funkcionálny jazyk, ktorý nemá utility ako map, filter, all, some ...? Ešte aj obyčajný Array.prototype.forEach je blbý pretože je definovaný pre Array. Ak chcem iterovať cez HTMLCollection (napr. document.getElementsByTagName) musím namiesto kolekcia.forEach volať Array.prototype.forEach.call(kolekcia, function(element) {... Veľa ľudí sa sťažuje na pythonovske funkcie ako len, iter ... ale keď zavolám iter na kolekcii tak aspoň funguje pretože kolekcia musí implementovať protokol iterátora. Namiesto toho js zvolil iný spôsob pri ktorom musí byť forEach definovaný pre každý typ kolekcie a to je mnoho duplicitného kódu ktorý nikto normálny neimplementuje a preto sa musí používať Array.prototype.forEach (no teoreticky mohol existovať Iterable.prototype a ten mohli mať v prototype chaine všetky kolekcie od Array až po HTMLCollection). Namiesto toho vznikli knižnice, ktoré tento bordel obaľujú do vlastných funkcií.

[Jendа]

Hlavní myšlenka mého příspěvku nebyla, že JS je špatný jazyk, ale že se něco takového vůbec používá - a je mi jedno, jestli je to JS, Brainfuck, nebo něco, co považuješ za kvalitní. Podle mě je celá myšlenka toho, že stránky mají vykonávat nějaký kód, zcestná. Nehledě na to, že jsou to bezpečnostní vrata, to naprosto to rozbíjí veškerou přístupnost a konzistenci ovládání. Když se zamyslím, kde je na webu potřeba client-side scripting, tak mě vlastně nic nenapadá (jediná aplikace, kterou používám, a které ho opravdu potřebuje, jsou Mapy.cz - ale ty používám jenom proto, že k tomu není rozumný desktopový klient). Přesto musím mít v NoSriptu hromadu výjimek a i tak mi mnoho stránek nefunguje. Experti jsou v tomto na blogpost.com, kde se bez JS zobrazí bílá stránka, a slideshare, kde mají navíc ve skriptu nekonečnou smyčku, která mi vytíží procesor. Přitom oboje je úplný nesmysl řešit JS, to první je obyčejný text, který lze lépe implementovat pomocí HTML 2.0 a to druhé stačí mít jako odkazy na next/prev.

[mirec]

S týmto názorom by som sa moc nevyťahoval. Tunajší webisti by ma najradšej ukameňovali keď tvrdím, že web by mal fungovať aj s vypnutým js.

Ak ide o kvalitu jazyka ... v dobrom vysokoúrovňovom jazyku by človek nemal len tak urobiť nekonečnú slučku. V jazykoch ako javascript, kde nie je poriadne implementovaný forEach sa to stane podstatne jednoduchšie.

[mirec]

Najlepšie sú samozrejme tie weby, ktoré sa ani poriadne nenačítajú ak mám zablokované google analytics. Slučka sa nám pomaly zaťahuje, koniec blokovania reklamy, facebooku, googlu ... sa blíži.

[JeChW]

Přes 90% uživatelů Androidu?