Stagefright és un error de programari explotable de manera remota que afecta les versions del sistema operatiu Android a partir de la 2.2 ("Froyo"), i permet a un atacant fer operacions arbitràries al dispositiu víctima a través de l'execució remota de codi i una escalada de privilegis. Els investigadors de seguretat informàtica demostren l'error de programari amb una prova de concepte que envia missatges MMS dissenyats de manera especial al dispositiu víctima i en la majoria dels casos no requereix cap acció de l'usuari consumidor per tenir èxit a la recepció del missatge, utilitzant el número de telèfon com a única informació de l'objectiu.
El vector d'atac subjacent explota certes vulnerabilitats de desbordament aritmètic al component del nucli d'Android anomenat "Stagefright", Internament, la biblioteca és referida com a . que és una biblioteca de programari complexa implementada primàriament amb C++ com a part del projecte Android Open Source Project (AOSP) i utilitzada com a motor de rerefons per a reproduir diversos formats multimèdia com MP4.
L'error ha sigut identificat amb nombrosos identificadors CVE (CVE-2015-1538, CVE-2015-1539, CVE-2015-3824, CVE-2015-3826, CVE-2015-3827, CVE-2015-3828 i CVE-2015-3829) els quals són referits de manera col·lectiva com a l'error Stagefright.
Història El descobridor fou Joshua Drake, de l'empresa de seguretat Zimperium, i fou anunciada públicament el 27 de juliol de 2015. Abans de l'anunci, Drake informà de l'error a Google l'abril del 2015, el qual incorporà una reparació relacionada als seus repositoris de codi font interns dos dies després de l'informe. En juliol de 2015, Evgeny Legerov, un investigador de seguretat moscovita, anuncià que havia trobat com a mínim dues vulnerabilitats semblants de desbordament de monticle a la biblioteca Stagefright, afirmant al mateix temps que la biblioteca ja s'havia estat explotant durant un cert temps. Legerov també confirmà que les vulnerabilitats que havia descobert es resolien en aplicar els pedaços que Drake va pujar a Google.
La presentació completa de l'error informàtic, presentada per Drake, tingué lloc el 5 d'agost de 2015 a la conferència Black Hat, als Estats Units d'Amèrica, i el 7 d'agost de 2015 a la conferència de hackers DEF CON 23. Després de la presentació, el 5 d'agost de 2015, Zimperium va publicar el codi font d'una prova de concepte d'explotació de la vulnerabilitat, pedaços per a la biblioteca Stagefright (malgrat que els pedaços ja eren públicament disponibles des de principis de maig del 2015 al depòsit del codi d'Android i altres depòsits), i una aplicació d'Android anomenada "Stagefright detector" que examina si un aparell amb Android és vulnerable a l'error Stagefirght.
El 3 d'agost de 2015, solament uns pocs productes havien rebut els pedaços contra l'error: PrivatOST de Blackphone des de la versió117, els llançaments nocturns de 12.0 i 12.1 de CyanogenMod, la variant del Samsung Galaxy Note 4 de Sprint Corporation, i Mozilla Firefox des de la versió 38 (aquest navegador web utilitza internament la biblioteca Stagefright d'Android).
El 13 d'agost de 2015 una altra vulnerabilitat a la biblioteca Stagefright identificada com a CVE-2015-3864 fou publicada per Exodus Intelligence. Aquesta vulnerabilitat no fou mitigada per reparacions existents dels errors ja coneguts. L'equip de CyanogenMod publicà una notícia on deia que els pedaços per a CVE-2015-3864 han sigut incorporats al codi de CyanogemMod 12.1 el 13 d'agost de 2015.
Referències
Categoria:Android