Фахівець із кібербезпеки Марк Блащиков виявив нову критичну вразливість, яка зачіпає смартфони під керуванням Android 12 та новіших версій операційної системи. Проблема пов’язана з отриманням спеціально сформованого SMS-повідомлення формату WAP Push, яке системна телефонна служба Android не здатна належним чином обробити.
Особливість цієї вразливості полягає в тому, що отримане повідомлення не відображається у звичайній папці вхідних SMS. Замість цього операційна система намагається обробити його у фоновому режимі, що спричиняє системну помилку та може призвести до порушення роботи смартфона. Зокрема, під час телефонних розмов можуть починатися мимовільні роз’єднання, пристрій може тимчасово втрачати доступ до мобільної мережі, а отримання кількох таких повідомлень здатне взагалі зробити смартфон непридатним для використання.
Відновлення працездатності пристрою після такого збою також може виявитися складним і потребувати втручання технічних фахівців.
Додаткову небезпеку становить те, що для успішної атаки не потрібні жодні дії з боку власника смартфона. Йдеться не про фішингову схему, яка передбачає перехід за шкідливим посиланням, відкриття вкладення або підтвердження певної операції. Достатньо самого факту отримання спеціально підготовленого SMS-повідомлення, після чого операційна система самостійно запускає процес його обробки.
Наразі дослідники підтвердили наявність проблеми на смартфонах Google Pixel і Samsung Galaxy, проте потенційно вразливими вважаються всі пристрої під керуванням Android 12 та новіших версій.
Спочатку Google відхилила повідомлення про цю проблему безпеки, яке дослідники надіслали ще у травні. Проте згодом інженерна команда Android розробила виправлення, яке увійшло до жовтневого пакета оновлень безпеки для всіх пристроїв із Android 14 та новішими версіями системи. Водночас смартфони зі старішими версіями Android залишаються вразливими.
Механізм виправлення передбачає розпізнавання одного з 20 потенційно небезпечних варіантів повідомлень. Якщо система виявляє таке SMS, вона не намагається його обробити, а відразу видаляє. Завдяки цьому усувається сама причина виникнення помилки, яка могла порушити роботу телефонних служб і зробити пристрій недоступним.
Власникам смартфонів із Android 13 та старішими версіями операційної системи наразі практично нічого не залишається, окрім як враховувати наявність цієї вразливості. Для користувачів новіших пристроїв основною рекомендацією є перевірка наявності жовтневого оновлення безпеки від Google та його встановлення. Саме цей пакет містить виправлення, яке запобігає обробці небезпечних WAP Push SMS-повідомлень.
