Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es
06/10/2016
Anunciades vulnerabilitats que permeten prendre el control de mòbils Samsung
Investigadors de la companyia israeliana Viral Security Group han anunciat un grup de tres vulnerabilitats en el sistema Knox de Samsung que podrien permetre a un atacant prendre el control total d'smartphones Galaxy S6 i Note 5.En aquesta ocasió les vulnerabilitats han quedat batejades amb el nom de KNOXout. Encara que amb un CVE únic (CVE-2016-6584) s’engloben les tres vulnerabilitats descobertes en Samsung KNOX. Totes poden permetre l’escalada de privilegis i van ser reportades a la firma de forma responsable.
Samsung KNOX és el nom emprat per Samsung per a oferir una col·lecció de característiques de seguretat implementades en els seus dispositius Android. Alguns dels mòduls són de cara a l’usuari (com l’aplicació Mi KNOX), mentre que altres realitzen la seua funció en segon pla.
És en un dels mòduls en segon pla on els investigadors han trobat els problemes. Concretament en el TIMA RKP (Real-time Nucli Protection), responsable de la defensa del sistema en cas d’un exploit reeixit del nucli.
Els investigadors han publicat un complet document en què expliquen com un exploit estàndard per a aconseguir root ataca el nucli i explora els mecanismes de protecció del mòdul RKP que protegeix davant d’aquest tipus d’exploits. Després d’això eviten les proteccions i aconsegueixen executar codi amb permisos del sistema. Un accés al compte del sistema permet a l’atacant prendre el control del dispositiu i realitzar qualsevol acció sense coneixement de l’usuari. L’equip de Viral Security Group aprofundeix en el mòdul RKP, per a identificar les proves específiques realitzades per a evitar l’escalada de privilegis. I aprofiten aquest coneixement per a evitar el mòdul RKP i aconseguir privilegis de root. A més, desactiven les proteccions addicionals del nucli i aconsegueixen carregar un mòdul nucli personalitzat, sense firmar, a fi de tornar a muntar la partició /system amb permisos d’escriptura.
Com a prerequisit per a atacar el mòdul RKP és necessari una vulnerabilitat "write-what-where" del nucli (una vulnerabilitat que pot permetre escriure un valor arbitrari en qualsevol direcció). Per a això es pot emprar qualsevol vulnerabilitat, però els investigadors han empleat la vulnerabilitat CVE-2015-1805, explotable en alguns dels més nous dispositius Samsung (com els Galaxy S6 i Galaxy Note 5), i compta amb un exploit open-source implementat conegut com iovyroot2.
Els investigadors també han publicat un vídeo que mostra el funcionament de la prova de concepte d’aquesta vulnerabilitat.
Sistemes Afectats:Smartphone Samsung amb Samsung Knox.
Referències:CVE-2016-6584
Solució:Encara no s’ha publicat solució a aquesta vulnerabilitat.
Notes:Hispasec una-al-dia
KNOXout (CVE-2016-6584) - Bypassing Samsung KNOX
Download Whitepaper
Proof-of-Concept Repository
Samsung KNOX
CVE-2015-1805 root tool (iovyroot)