Android: luka „Message of Death” może zawiesić telefon SMS-em

Badacz bezpieczeństwa ujawnił nową lukę w systemie Android, która budzi spore obawy. Złośliwa wiadomość tekstowa może zdalnie unieruchomić telefon, a użytkownik nie musi jej otwierać ani klikać w żaden link.

Luka nazywana jest „Message of Death” („wiadomość śmierci”). Wykorzystuje sposób, w jaki Android obsługuje określony rodzaj wiadomości. W efekcie mogą przestać działać usługi łączności, trwające rozmowy zostają przerwane, a w niektórych przypadkach telefon wpada w pętlę ciągłych restartów.

Problem tkwi w wiadomościach WAP Push

Chodzi o wiadomości WAP Push, które system przetwarza automatycznie i które zwykle nie pojawiają się w standardowej skrzynce SMS. Według badacza odpowiednio spreparowana, nieprawidłowa wiadomość może wywołać błąd w podsystemie łączności Androida.

Najbardziej niepokojące jest to, że do ataku wystarczy samo dotarcie wiadomości do urządzenia. Jeśli sieć będzie wysyłać ją wielokrotnie, problem może się utrzymywać, a telefon nieustannie się restartować.

Poprawka i zalecenia

Google przygotowało poprawkę. Według dostępnych informacji ochrona trafiła już na część urządzeń z nowszymi wersjami Androida w ramach ostatnich aktualizacji bezpieczeństwa. Bardziej narażone mogą pozostawać starsze telefony, które nie otrzymują już regularnych poprawek.

Użytkownikom zaleca się sprawdzenie poziomu poprawek zabezpieczeń i zainstalowanie najnowszej dostępnej wersji systemu.

Luka służy do zakłócania działania usług telefonu. Do tej pory nie ma potwierdzonych dowodów, że wykorzystywano ją do kradzieży haseł lub danych osobistych, nie odnotowano też masowych ataków na użytkowników Androida. Sprawa pokazuje jednak, że z aktualizacjami nie warto zwlekać: jedna poprawka bezpieczeństwa może decydować o tym, czy telefon działa normalnie, czy nagle przestaje reagować.