- Статус
- Offline
- Регистрация
- 3 Июл 2016
- Сообщения
- 2,444
- Реакции
- 344
- Покупки через Гарант
- 0
- Продажи через Гарант
- 0
Цепочка уязвимостей
Эксперты компании Check Point Research обнаружили две уязвимости в предустановленной виртуальной клавиатуре флагманских моделей смартфонов LG - G4, G5 и G6. Выявленные уязвимости могут быть использованы для удаленного выполнения на смартфонах произвольного кода с повышенными привилегиями.
Это открывает потенциальным хакерам самые широкие возможности, включающие установку кейлоггера (программы, отслеживающей клавиатурные нажатия) и последующий доступ к конфиденциальным пользовательским данным.
Первая ошибка безопасности связана с функцией ввода рукописного текста. Выяснилось, что при обновлении языка интерфейса устройство подключается к внешнему серверу по незащищенному HTTP-соединению, которое легко поддаётся атаке «человек посередине» (Man-in-the-middle, MITM) с последующей загрузкой вредоносного файла вместо легитимного обновления.
Вторая уязвимость касается местоположения языкового файла. С помощью механизма «обход каталога» хакер может изменить расширение файла и внедрить вредоносное ПО в конфигурационный файл каталога клавиатуры LG.
Подробнее: http://safe.cnews.ru/news/top/2018-05-14_vo_flagmanskih_smartfonah_lg_nashli_dve_dyry
Эксперты компании Check Point Research обнаружили две уязвимости в предустановленной виртуальной клавиатуре флагманских моделей смартфонов LG - G4, G5 и G6. Выявленные уязвимости могут быть использованы для удаленного выполнения на смартфонах произвольного кода с повышенными привилегиями.
Это открывает потенциальным хакерам самые широкие возможности, включающие установку кейлоггера (программы, отслеживающей клавиатурные нажатия) и последующий доступ к конфиденциальным пользовательским данным.
Первая ошибка безопасности связана с функцией ввода рукописного текста. Выяснилось, что при обновлении языка интерфейса устройство подключается к внешнему серверу по незащищенному HTTP-соединению, которое легко поддаётся атаке «человек посередине» (Man-in-the-middle, MITM) с последующей загрузкой вредоносного файла вместо легитимного обновления.
Вторая уязвимость касается местоположения языкового файла. С помощью механизма «обход каталога» хакер может изменить расширение файла и внедрить вредоносное ПО в конфигурационный файл каталога клавиатуры LG.
Подробнее: http://safe.cnews.ru/news/top/2018-05-14_vo_flagmanskih_smartfonah_lg_nashli_dve_dyry
