Stagefright sebezhetőség - ízekre szedve

A hírhedt Stagefright sebezhetőséget szedte ízekre Mark Brand, a Google biztonsági csapatának, a Project Zero-nak tagja. A Google korábban több ízben is közölte, hogy a sebezhetőség kihasználása nem triviális az újabb Android verziókba épített mitigációs technikák, illetve az összeomlás esetén életbe lépő process respawn mechanizmus miatt. A "nem triviális" nem túl konkrét meghatározás. Mark Brand elemzésének köszönhetően most tisztulhat a kép:

The mediaserver process will respawn after a crash, and there is 8 bits of entropy in the libc.so base address. This means that we can take a very straightforward approach to bypassing ASLR. We simply choose one of the 256 possible base addresses for libc.so, and write our exploit and ROP stack assuming that layout. Launching the exploit from the browser, we use javascript to keep refreshing the page, and wait for a callback. Eventually memory will be laid out as we expect, bypassing ASLR with brute force in a practical enough way for real-world exploitation. [...] I did some extended testing on my Nexus 5; and results were pretty much as expected. In 4096 exploit attempts I got 15 successful callbacks; the shortest time-to-successful-exploit was lucky, at around 30 seconds, and the longest was over an hour. Given that the mediaserver process is throttled to launching once every 5 seconds, and the chance of success is 1/256 per attempt, this gives us a ~4% chance of a successful exploit each minute.

A teljes bejegyzés a technikai részletekkel itt olvasható.