חוקרים ביבמ איתרו פרצת אבטחה חמורה במערכת ההפעלה אנדרואיד. הפרצה חושפת 55% ממשתמשי המערכת לאפשרות השתלטות על המכשיר שלהם, באמצעות העלאת רמת ההרשאות של אפליקציה זדונית, עד למצב בו היא חושפת את המערכת לניהול על-ידי פורצים. בדומה לפרצה במערכת ההפעלה עצמה, זוהו גם פרצות מקבילות בערכות פיתוח תוכנה (SDK) לסביבת אנדרואיד, המוצעות על-ידי צדדים שלישיים.
אור פלס ורועי חי, אנשי צוות מחקר האבטחה בקבוצת X-Force של יבמ, גילו כי פורצים המצוידים בכלים המתאימים, מסוגלים לעקוף גם את המשתמשים הזהירים ביותר. במאמר אקדמי הנושא את הכותרת "One Class to Rule Them All" המוצג השבוע בכנס אקדמי בינלאומי בוושינגטון, USENIX WOOT ’15, הם מראים כי די במחלקה אחת פגיעה, אותה זיהו בפלטפורמת אנדרואיד, על-מנת להשתלט לחלוטין על המכשיר, בעזרת הטכניקה המתוארת.
ככל הידוע, לא נעשה עד היום שימוש בפרצה הזאת. תקיפה דומה, אשר ניצלה חולשת אבטחה שונה (וידועה), שימשה את האקינג טים האיטלקית, אשר הציעה אפליקציית חינם בשם "BeNews" באמצעות החנות של גוגל. האפליקציה הזאת הצליחה לעקוף את מנגנוני ההגנה של החנות - ושל מכשירי הקצה - בזכות העובדה שלא דרשה עם התקנתה זכויות יתר כל שהן, המאפשרות לה גישה אל מערכת ההפעלה או אל יישומים אחרים. רק אחר כך, באמצעות עידכון קוד נוסף אותו הזרימה, קיבלה האפליקציה הרשאות ברמה הגבוהה ביותר, שאיפשרו לפורצים להשתלט על המערכת.
על-פי הנוהל המקובל בעולם אבטחת המידע, מסרו חוקרי יבמ מבעוד מועד פרטים מלאים על הפרצה, הן לגוגל, המפתחת את אנדרואיד, והן לחברות המציעות את ערכות הפיתוח לסביבה הזאת - על-מנת שידאגו לסגירתן. הפרסום נעשה רק לאחר שהובטחה זמינות טלאי האבטחה המתאימים.
מפתחים בסביבת אנדרואיד משתמשים במחלקות, על-מנת לספק פונקציונאליות למגוון אפליקציות, דוגמת גישה לרשת, או גישה למצלמת המכשיר הסלולרי. הפרצה אותה זיהו חי ופלס, מאפשרת לתוכנה זדונית לנצל את ערוצי התקשורת המתנהלים בין אפליקציות או שירותים, במסגרת מערכת ההפעלה. לצורך התקשורת הזאת מפורק המידע לרכיבים ומורכב שוב, בחזרה. אלא שהזרקת קוד זדוני אל תוך רצף התקשורת, מנצלת את הפרצה בצד המקבל שלה - על-מנת להשתלט על המכשיר כולו.
בעת גילוי הפרצה היו חשופים לה יותר מ-55% ממשתמשי אנדרואיד בכל העולם, בגרסאות 4.3 עד 5.1: ג'לי בין, קיטקט ולוליפופ.
חוקרי יבמ הראו כיצד ניתן לבצע את הפריצה, באמצעות התקפה על תהליך מסוים (system server) שרץ במסגרת מערכת ההפעלה. פורץ המשתלט על התהליך יוכל לגרום לנזקים רבים בשל ההרשאות הגבוהות המוקצות לתהליך הזה, מעצם מבנה מערכת ההפעלה. כך, למשל, יכול הפורץ לבצע פעולות בשמו של הקורבן - על-ידי החלפת אפליקציות קיימות בזדוניות, לגנוב נתונים מאפליקציות מותקנות - דוגמת פרטי סיסמאות וגישה למערכות בנקאיות, ואף לשנות במקרים מסוימים את הגדרות האבטחה של המכשיר כולו, ולטעון מודולים זדוניים אל תוך ליבת מערכת ההפעלה.
פרצות נוספות התגלו בערכות פיתוח יישומים לסביבת אנדרואיד, ומאפשרות החדרת קוד זדוני ושילובו באפליקציות המפותחות בעזרת כלים אלה.
מומחי יבמ ממליצים על שינויים ושיפורים בפונקציה מסוימת (Deserialization) ברמת מערכת ההפעלה - באופן שיבטיח כי גם אם תתגלה פרצה אחרת - היא תהיה מוגבלת בהיקף הפגיעה, אותה היא מסוגלת לגרום. החוקרים מציעים גם מנגנוני הגנה נגד ניצול הפרצה עצמה, למשל הקצאת אזורים מסוימים בזיכרון לקריאה בלבד - באופן שימנע שינויים זדוניים באיזורים אלה בעת ניסיון ניצול פירצה עתידית.
