Google lukker hul i Android

Artiklen blev oprindeligt publiceret den 27/6/2014

Google har lukket et alvorligt sikkerhedshul i Android. Det lader angribere afvikle programkode.

Sårbarheden findes i funktionen KeyStore, hvor der er et stakbaseret bufferoverløb. Det giver mulighed for at køre programkode under KeyStore-processen. Dermed kan angribere få fat i passwords og krypteringsnøgler.

Der er dog en række hindringer for angreb: DEP (Data Execution Prevention) og ASLR (Address Space Layout Randomization) vil ofte forhindre angreb.

Fejlen findes i Android 4.3 og tidligere versioner. Den er rettet i Android 4.4 (Kitkat).

Foreløbig anvender knap 14 procent af Android-brugerne den nyeste version af styresystemet.

Anbefaling
Installer opdateringen, når den kommer til din smartphone/tablet.

Links

• Android KeyStore Stack Buffer Overflow: To Keep Things Simple, Buffers Are Always Larger Than Needed, blogindlæg fra IBM
• Android KeyStore Stack Buffer Overflow, præsentation fra IBM