mboost-dp1

Google

Et år gammel fejl i Android kan give root-adgang

- Via Network World - , indsendt af LinguaIgnota

Til hackerkonferencen Black Hat har firmaet Lookout afholdt en demonstration, hvor de viser, hvordan de via en gammel fejl, kendt som CVE-2009 1185, opnår root-adgang over flere Android-telefoner.

Der findes en rettelse til fejlen, men det er de færreste, som har implementeret den. Det har Lookout bevist ved at opnå fuld kontrol over selv nye telefoner som Droid X, EVO 4G og Droid Incredible, ligesom flere ældre telefoner også blev kompromitteret.

For at udnytte fejlen kræver det, at brugeren lokkes til at hente og afvikle en applikation på deres mobiltelefon, og når det er gjort, vil man have fuld kontrol over telefonen.

Hos Lookout viste direktør John Herring også, at man kan misbruge legitime rettigheder til f.eks. at indsamle personlige oplysninger. Et eksempel er programmet Jackeey Wallpaper, der indsamler telefonnummer, abonnements-id og det indtastede voicemail-nummer.

Normalt skal man give lov til, at et program kan indsamle disse oplysninger, men hvad de færreste ved, er, at programmerne i nogle tilfælde kan udnytte hinandens rettigheder. Så har man sagt nej til at ét program kan tilgå internettet, så kan det måske alligevel lade sig gøre via et andet, hvor man har givet tilladelse.

Du kan se en video herunder, hvor en medarbejder fra Lookout forklarer mere om sikkerhedshullet.





Gå til bund
Gravatar #1 - HerrMansen
1. aug. 2010 10:19
Småpinligt imo...
Gravatar #2 - BeLLe
1. aug. 2010 11:04
Men kan det bruges til at jeg som bruger får root adgang til min telefon uden at skulle til at flashe først?
Gravatar #3 - kjeldmis
1. aug. 2010 11:13
#2: F. eks. Root Explorer som er en betalingsapp på market bruger dette exploit til at give brugeren root uden at flashe eller benytte en update.

Det bliver helt sikkert fixet i 2.2 eller i 2.2-update1
Gravatar #4 - Slettet Bruger [2797687726]
1. aug. 2010 11:39
Se windcape, android ER åbent
Gravatar #5 - reefermadness  
1. aug. 2010 11:47
Åh nej vil de sige at jeg KAN få noget skidt ind på min telefon hvis jeg henter alle de der NudeCelebzBackground1032 og lignende apps..

Men seriøst kunne man godt ønske sig en bedre moderering af indhold på market.

Når det er sagt er jeg dog også glad for at man har muligheden for at køre lige hvad man vil (Ting der ikke findes på market, som f.eks quake3 og scummvm til 2.1)
Gravatar #6 - Glædelig Jul!!
1. aug. 2010 12:08
Når nu LinguaIgnota er så flink at bringe det med de famøse wallpapers på in i artiklen, ville et link til programmørens udtalelser så ikke være på sin plads?

http://www.androidcentral.com/android-privacy-conc...

http://www.androidcentral.com/rogue-android%20app-...


Alt i alt et par gode links, der sætter "lookouts" udtalelser i et andet lys.


Gravatar #7 - LinguaIgnota
1. aug. 2010 12:20
Nu er det jo så ikke mig, der har skrevet nyheden. Jeg ved godt, at du ikke er så kløgtig, men helt ærligt, hvor svært kan det være at læse en enkelt linie: "Via Network World, af pernicious, indsendt af LinguaIgnota".

Og så skal man godtnok være noget af en fanboy, hvis man mener, det er okay, at en udvikler indsamler telefonnumre og device ID, når de ikke har noget som helst med applikationens funktion at gøre.

Also:
http://newz.dk/google-afviser-problemer-med-android-programmer skrev:
Ifølge en undersøgelse lavet af firmaet SMobile, der lever af at sælge sikkerhedsløsninger til blandt andet smartphones, så kan op mod 20 % af alle applikationer til Android-telefoner tilgå ens private data.

Undersøgelsen har fået en del omtale i medier verden over, og nu svarer Google igen, idet de mener, SMobiles rapport slet ikke holder vand. I en udtalelse fra Google påpeger de blandt andet, at alle programmer, der skal tilgå private data, skal spørge om tilladelse til det først.


http://newz.dk/et-aar-gammel-fejl-i-android-kan-give-root-adgang skrev:
Normalt skal man give lov til at et program kan indsamle disse oplysninger, men hvad de færreste ved er, at programmerne i nogle tilfælde kan udnytte hinandens rettigheder. Så har man sagt nej til at et program kan tilgå internettet, så kan det måske alligevel lade sig gøre via et andet, hvor man har givet tilladelse.


Funny stuff.
Gravatar #8 - Glædelig Jul!!
1. aug. 2010 12:26
"Og så skal man godtnok være noget af en fanboy, hvis man mener, det er okay, at en udvikler indsamler telefonnumre og device ID, når de ikke har noget som helst med applikationens funktion at gøre."

Det var så heler ikke det jeg skrev, jeg gjorde blot opmærksom på eksrtainfo ANG. den sag.

Gravatar #9 - LinguaIgnota
1. aug. 2010 12:29
Jeg kan ikke se hvordan, den ekstra information er relevant, men fuck it, du får en informativ, fordi jeg er så pisserar. Om ikke andet, så prøvede du i det mindste.
Gravatar #10 - Glædelig Jul!!
1. aug. 2010 13:09
LinguaIgnota (9) skrev:
Jeg kan ikke se hvordan, den ekstra information er relevant


Det kommer ikke som nogen overraskelse :)
Gravatar #11 - LinguaIgnota
1. aug. 2010 13:19
Du kan jo prøve, om du kan forklare mig det på en måde, så du virker mindre usammenhængende end normalt. Så lover jeg til gengæld, at jeg vil læse det igennem 4-5 gange og virkelig forsøge at huske hvordan, man tænkte i 6. klasse. På forhånd tak. :)
Gravatar #12 - TonyG
1. aug. 2010 13:23
Det bliver vel bare lukket for den "generelle befolkning" i Android 2.2 som står beskrevet, ik? Jeg er doven som så mange andre, og vil helst ikke til rent faktisk at sætte mig ind i ting :)

Also, dude looks like a lady
Gravatar #13 - Glædelig Jul!!
1. aug. 2010 13:29
Offtopic.

Downloader i dette minut Froyo til min Desire, så den er frigivet på dele af 3's net :)
Gravatar #14 - Glædelig Jul!!
1. aug. 2010 13:59
LinguaIgnota (11) skrev:
Du kan jo prøve, om du kan forklare mig det på en måde, så du virker mindre usammenhængende end normalt. Så lover jeg til gengæld, at jeg vil læse det igennem 4-5 gange og virkelig forsøge at huske hvordan, man tænkte i 6. klasse. På forhånd tak. :)


Det er da ikke min skyld du ikke forstår engelsk :)
Gravatar #15 - Windcape
1. aug. 2010 17:21
kjeldmis (3) skrev:
Det bliver helt sikkert fixet i 2.2 eller i 2.2-update1
Og det hjælper de 96.7% der kører en lavere version pt.?

Eller de cirka. 50% devices der ikke er nogen planer for at opdatere yderlige? Eller de 18.9% der slet ikke kan modtage automatiske opdatering!

Sikkerhedsfejl som dette viser jo netop hvor problematisk Google's opdateringsmodel for Android er. Og det er jo nemt at skjule fy-fy kode i programmer der ellers virker fornuftige.

Og måske endda overtale brugerne til at hente dem uden om markedet, da telefonen kan side-loade apps.

Jeg er helt sikker på at folk tænker mindre over hvilke apps de henter til deres telefon, end hvad de downloader til deres PC -- almene brugere tænker simpelthen ikke over at det lidt de har hørt om PC sikkerhed, også gælder for en mobiltelefon.
Gravatar #16 - myplacedk
1. aug. 2010 18:17
Windcape (15) skrev:
Og måske endda overtale brugerne til at hente dem uden om markedet, da telefonen kan side-loade apps.

Frihed er farligt. [ironi]Det må vi undgå.[/ironi]

Windcape (15) skrev:
Jeg er helt sikker på at folk tænker mindre over hvilke apps de henter til deres telefon, end hvad de downloader til deres PC

Det må folk så lære. Det må ikke forhindre at er lommecomputere (med eller uden telefon-funktioner) på markedet.
Gravatar #17 - Windcape
1. aug. 2010 19:47
myplacedk (16) skrev:
Frihed er farligt. [ironi]Det må vi undgå.[/ironi]
Det er jo på ingen måde ironisk. Det er sådan markedet udvikler sig pt.!

Sideloading er generelt et problem for hele forretningsmodellen ved at udvikle apps til en platform. Specielt hvis de skal være betalte.

Det er også min forståelse, at Google har tæt på intet check af de applikationer der bliver lagt på Android Market (Der har været meget kritik af det på det seneste, på f.eks. Lifehacker og andre rimelig neutrale sider).

Hvilket altså skaber et problem for platformen i sin helhed.

Nørderne må lære at acceptere at general-mass products er nødsaget til at være begrænset/lukket.
Gravatar #18 - myplacedk
1. aug. 2010 19:55
Windcape (17) skrev:
Det er jo på ingen måde ironisk.

Jeg mente det modsatte af hvad jeg sagde. Så kan du kalde det hvad du vil.

Windcape (17) skrev:
Sideloading er generelt et problem for hele forretningsmodellen ved at udvikle apps til en platform. Specielt hvis de skal være betalte.

Det kan jeg nu ikke se. Det betyder jo ikke andet, end at du kan få apps ind uden om det officielle marked. Det er da en grundlæggende frihed som jeg vil kræve, så længe det er min lommecomputer.

Windcape (17) skrev:
Nørderne må lære at acceptere at general-mass products er nødsaget til at være begrænset/lukket.

Så længe man kan åbne det med en simpel indstilling (som på min Android-telefon), så er det fint med mig.
Gravatar #19 - gnаrfsan
1. aug. 2010 20:14
Jeg synes ikke det er pinligt, men derimod meget ventet, at der viser sig huller i et åbent applikationsmarked. Det er prisen, for den manglende kontrol, og det bør man være opmærksom på. Hell, det kan også ske for Apples lukkede app-store en dag. Vi har jo allerede set én tethering app komme på, men Apple har naturligvis bedre mulighed for at lukke en sådan app ned. Dem, der har jailbreaket telefonen, har samme sikkerhedsrisiko.
Gravatar #20 - mat
1. aug. 2010 20:27
#17

Nørderne må lære at acceptere at general-mass products er nødsaget til at være begrænset/lukket.


Vås, de skal være sikre, og det er ikke det samme som dit vrøvl.
Gravatar #21 - Windcape
1. aug. 2010 21:00
mat (20) skrev:
Vås, de skal være sikre, og det er ikke det samme som dit vrøvl.
Og hvor ligger sikkerheden?

Hvordan vil du kører alting i en sandbox? Så dræber du enhver form for integration mellem programmer der er muligt.

Det kan ikke lade sig gøre at sikre sig mod at brugerne henter et program, der ellers virker legit, som har spyware i sig. Den eneste måde er at professionelle validere det på forhånd, og det gøres ved at begrænse friheden til at installere software, til et enkelt kontrollerbart område.

100% frihed er det samme som 100% sårbarhed. Spørgsmålet er så om forbrugeren gerne vil begrænses for deres eget bedste. Og det tror jeg gerne de vil.
Gravatar #22 - Glædelig Jul!!
2. aug. 2010 01:05
Windcape (17) skrev:
Det er jo på ingen måde ironisk. Det er sådan markedet udvikler sig pt.!


Ikke for dig, du har jo SteveJ til at passe på at du ikke henter noget snavs ned på din telefon, eller har du nu også det, var der ikke 400+ der fik stjålet penge igennem ITunes http://www.windowssecrets.com/2010/07/08/01-iTunes...

Men du kan da ikke få noget skidt med WIFI, for der passer SteveJ på dig http://maczonen.dk/2010/05/17/apple-forbyder-wi-fi...

Men det korte af det lange, er man ikke klog nok til selv at passe på at intet slemt skal ske, så er det helt fint andre gør det, hvis det er det man vil, jeg kan bare godt selv tage de valg der skal tages, og skulle jeg gøre et dumt valg, så er der ikke andre end mig selv at skælde ud.

Vive la liberté.
Gravatar #23 - Windcape
2. aug. 2010 01:10
#22

Jeg ejer en Android -- med et ubrugeligt market som jeg ikke kan købe apps på, og som har spam apps som de højeste ratede apps pga. fejl i Android Market.

På Android Market er 5 stjerne og positive ratings lig med spyware.
Gravatar #24 - Glædelig Jul!!
2. aug. 2010 01:25
#23

Jeg bruger selv Android, og kan ikke genkende dine problemer, købedelen kommer på et tidspunkt, men der er masse af fine apps, som intet har med spam at gøre.

Har du prøvet med andre søgeord end "nude" :)

Gravatar #25 - Windcape
2. aug. 2010 01:35
JustMe (24) skrev:
og kan ikke genkende dine problemer,
http://androinica.com/2010/03/19/android-market-has-10000-crappy-spam-apps/

http://www.zdnet.com/blog/hardware/android-market-...

Samme historie gentager sig igen og igen...

JustMe (24) skrev:
købedelen kommer på et tidspunkt
Det har kun manglet i over et år...

*sigh* Android har altså helt sikkert overgået iPhone i fantatiske fanbois nu.
Gravatar #26 - Glædelig Jul!!
2. aug. 2010 01:41
Der er i følge dit link 10000 spamapps, dem kan du jo bare lade være med at hente, de er jo ret nemme at spotte, med mindre man er til underlige horn og sjove blinkende lamper underlihe wallpaperprogrammer og nøgne piger.

Udvalget af gode apps er ganske fint imho.

Men sælg du hellere din Android telefon, og nyd SteveJs paradis, som også har problemer, de er så bare alvorligere, jeg har ikke hørt om nogen der har mistet penge på Androidmarket som vi lige har hørt om fra ITunes.

Jeg ville på intet tidspunkt bytte min telefon med en IPhone, og da slet ikke V4, jeg bruger nemlig også min telefon til at ringe på :)

Jeg vil i seng,



Gravatar #27 - Glædelig Jul!!
2. aug. 2010 01:44
BTW, kiggede lige en poll fra et af dine links.
http://www.zdnet.com/blog/hardware/android-market-...

Which App store approach do you prefer?

*
Apple's
33%
*
Google's
67%


Jeg er ikke helt alene om at være tilfreds :)
Gravatar #28 - Windcape
2. aug. 2010 01:45
#27

Forretningsmodellen hos Apple er bedre. Og så præcise en opdeling tegner på meget få stemmer.

Men du må gerne være en ignorant hippie for min skyld.
Gravatar #29 - Chewy
2. aug. 2010 02:02
@28
Men du må gerne være en ignorant hippie for min skyld.


Og du har hermed min tilladelse til at fortsætte med at være en fascistoid nazist. Føler du dig ikke glad nu....
Gravatar #30 - Windcape
2. aug. 2010 02:56
#29

Nej nej, det er helt forkert. Jeg er jo ikke Apple fanboi. Så det er dem over på macnation du skal kalde det.
Gravatar #31 - myplacedk
2. aug. 2010 04:57
Windcape (21) skrev:
100% frihed er det samme som 100% sårbarhed. Spørgsmålet er så om forbrugeren gerne vil begrænses for deres eget bedste. Og det tror jeg gerne de vil.

Og 100% sikkerhed er det samme som 0% frihed. Nej tak til 100% sikkerhed.

Selvfølgelig er der nogen der ville have bedst af kun at have adgang til kontrollerede apps. Men vi andre eksisterer også.

Så er det jo godt at der er andre produkter man kan vælge i stedet. Og vil du ikke godt gøre det? Der er stor forskel på brok og konstruktiv kritik, og det du kommer med er ikke konstruktiv kritik. Det er bare træls at høre på.
Gravatar #32 - TWFH
2. aug. 2010 07:20
Nu er der også andre app stores end Googles. De er frit tilgængelige og kræver ingen hokus-pokus for at tilgå.
Gravatar #33 - Magten
2. aug. 2010 07:31
Windcape (23) skrev:
og som har spam apps som de højeste ratede apps pga. fejl i Android Market.
Øhm... Hvilke apps er det lige?

Windcape (25) skrev:
*sigh* Android har altså helt sikkert overgået iPhone i fantatiske fanbois nu.
Det sjove er at "vi" kun fremstår fanatiske, fordi 50% af de indlæg du skriver er flame eller direkte forkerte.
Gravatar #34 - LinguaIgnota
2. aug. 2010 08:58
JustMe (22) skrev:
Men det korte af det lange, er man ikke klog nok til selv at passe på at intet slemt skal ske, så er det helt fint andre gør det, hvis det er det man vil, jeg kan bare godt selv tage de valg der skal tages, og skulle jeg gøre et dumt valg, så er der ikke andre end mig selv at skælde ud.

Normalt skal man give lov til at et program kan indsamle disse oplysninger, men hvad de færreste ved er, at programmerne i nogle tilfælde kan udnytte hinandens rettigheder. Så har man sagt nej til at et program kan tilgå internettet, så kan det måske alligevel lade sig gøre via et andet, hvor man har givet tilladelse.

Magten (33) skrev:
Det sjove er at "vi" kun fremstår fanatiske, fordi 50% af de indlæg du skriver er flame eller direkte forkerte.


Mjaeh...
Gravatar #35 - berador
2. aug. 2010 11:01
@ Windcape du giver simpelt hen ord DUM helt ny mening
Gravatar #36 - Windcape
2. aug. 2010 11:17
#35

Provokerende måske (afhængig af synspunkt). Men ikke dum.

Dumme mennesker er dem som benægter problemer.
Gravatar #37 - myplacedk
2. aug. 2010 11:30
Windcape (36) skrev:
Men ikke dum.

Så spiller du dum. Og hvis det er provokerende, så er det på den troll-agtige måde, ikke den inspirerende.
Gravatar #38 - Windcape
2. aug. 2010 11:37
#37

Hvis du bliver provokeret over at ikke alle deler dine meninger, skulle du måske bruge mere tid offline.

Men som altid taler i bare uden om, i stedet for at adressere problemerne. Typisk.
Gravatar #39 - Magten
2. aug. 2010 11:46
LinguaIgnota (34) skrev:
Mjaeh...
Det var vist ikke helt det han mente.

Nok nærmere at han godt selv kan tage ansvar for de programmer han installere..

Det er også en af grundene til at jeg har en Android telefon.. Jeg gider ikke have en telefon hvor jeg ikke kan få lov at fucke op hvis jeg har lyst..
I det hele taget er jeg træt af at folk skal hjælpes igennem alt step-by-step og kontrolleres i hoved og røv fordi de ikke gider tage ansvar for deres handlinger..
Gravatar #40 - myplacedk
2. aug. 2010 11:48
Windcape (38) skrev:
Men som altid taler i bare uden om, i stedet for at adressere problemerne. Typisk.

Siger mesteren i at tale uden om.

Men vi kan da godt holde os til emnet.

Windcape (28): Men du må gerne være en ignorant hippie for min skyld.
Provokerende? Ja. Dumt? Ja.

Det forudsigelige svar du ikke forudså:

quote=Chewy (29): Og du har hermed min tilladelse til at fortsætte med at være en fascistoid nazist. Føler du dig ikke glad nu....

Og den bedste reaktion du kunne finde på var:

Windcape (30): Nej nej, det er helt forkert. Jeg er jo ikke Apple fanboi. Så det er dem over på macnation du skal kalde det.

Det viser jo ganske tydeligt at du ikke har forstået beskeden, og muligvis ikke engang har fanget hvad du selv sagde i #28.

Provokerende? Nej. Dumt? Ja. Snakker udenom? Tjah, du snakker i hvert fald om noget som ikke er relevant.
Gravatar #41 - Windcape
2. aug. 2010 11:49
Magten (39) skrev:
fordi de ikke gider tage ansvar for deres handlinger..
Men når man sikre udviklerne en bedre forretningsmodel (en distributionskanal = så meget nemmere), og brugerne højere sikkerhed, så slår man to fluer med et smæk.
Gravatar #42 - Magten
2. aug. 2010 11:52
#41
Jeg er ligeglad med om det giver højere sikkerhed for dig. Jeg vil stadig have lov til at installere suspekte apps hvis jeg har lyst. Jeg har købt og betalt for at kunne det.

Så svært er det heller ikke at læse et par comments og/eller se hvordan programmet er blevet ratet.
Gravatar #43 - Windcape
2. aug. 2010 11:53
#40

Prøv at læs #22

Når man skriver på den måde så er man en Android hippie, det er helt sikkert.

De pragmatiske kan godt se hvorfor iPhone's model virker bedre. Og hvorfor at WP7 vil virke endnu bedre.

Jeres frihed er en illusion. Men behold den bare.
Gravatar #44 - Windcape
2. aug. 2010 11:53
Magten (42) skrev:
Jeg er ligeglad med om det giver højere sikkerhed for dig. Jeg vil stadig have lov til at installere suspekte apps hvis jeg har lyst. Jeg har købt og betalt for at kunne det.
Se, dette her et altså et kerneproblem.

Brugeren VIL have lov at installere virus!

Så kan ingen beskyttelse i verden hjælpe brugeren. Modellen gør sig også gældende for pc'en.
Gravatar #45 - myplacedk
2. aug. 2010 11:56
Windcape (43) skrev:
Når man skriver på den måde så er man en Android hippie, det er helt sikkert.

Nej man er ej. Han formulerer det lidt provokerende, det må du da være voksen nok til at kunne tåle.
Indholdet i det han skriver er fornuftigt nok, uanset om man er enig eller ej.

Windcape (43) skrev:
De pragmatiske kan godt se hvorfor iPhone's model virker bedre. Og hvorfor at WP7 vil virke endnu bedre.

"Pragmatisk" betyder ikke at man er enig med dig.

Windcape (43) skrev:
Jeres frihed er en illusion. Men behold den bare.

Illusion? Well, det virker nu fint nok her. Jeg er fri til at gøre ting på min Android, som jeg ikke havde frihed til på min Symbian, eller mine venner har på deres iPhone eller Windows-telefon. Og det omvendte er jeg ikke stødt på endnu.
Gravatar #46 - myplacedk
2. aug. 2010 11:57
Windcape (44) skrev:
Brugeren VIL have lov at installere virus!

Så kan ingen beskyttelse i verden hjælpe brugeren. Modellen gør sig også gældende for pc'en.

Jeg vil også have lov til at gå over gaden. Staten kan ikke beskytte mig imod at blive ramt af en bil. Og det er IKKE et problem, selv om folk dør af det hver dag.
Gravatar #47 - Magten
2. aug. 2010 11:59
#44
Haha, hej fidomuh? Bevidst misforståelse er du efterhånden ekspert i Windcape <3

Jeg vil ikke underlægges et firma's meninger om hvad jeg skal kunne, og hvad jeg ikke skal kunne på min telefon.

Google Voice i Apple App Store - hvorfor må man ikke få det på sin iPhone medmindre man jailbreaker den?
Gravatar #48 - Chewy
2. aug. 2010 13:14
@43
De pragmatiske kan godt se hvorfor iPhone's model virker bedre. Og hvorfor at WP7 vil virke endnu bedre.


Det var da utroligt som du ophøjer din personlige mening til den ypperste sandhed...
Har du overvejet at blive teleevangelist?
Gravatar #49 - berador
2. aug. 2010 13:45
Magten (47) skrev:
#44
Haha, hej fidomuh? Bevidst misforståelse er du efterhånden ekspert i Windcape <3

vil henvis til #35 ikke sikker på at han misforstår det tro ganske simpelt at han er dum og Appel geek som heller vil giver over priser og være sikker selm om jeg heller vil VIDE at det jeg bruger er lidt usikker ind at gå rundt og TRO at det jeg bruger er sikkert for ja iphone os er nok lige så sikker som deres PC OS er det
Gravatar #50 - Magten
2. aug. 2010 13:46
#49
Han er ikke Apple geek.. Han ser bare op til fidomuh (eller har overtaget rollen, synes ikke fidomuh er så slem mere :D)..
Gå til top

Opret dig som bruger i dag

Det er gratis, og du binder dig ikke til noget.

Når du er oprettet som bruger, får du adgang til en lang række af sidens andre muligheder, såsom at udforme siden efter eget ønske og deltage i diskussionerne.

Opret Bruger Login