Pixel 10: Google explică cum să-ți spargi propriul telefon fără niciun click

Echipa Project Zero, cunoscută pentru că găsește găuri acolo unde n-ar trebui să existe, a lansat o analiză detaliată a unui lanț de exploit-uri 0-click pentru Pixel 10. Dacă credeai că smartphone-ul tău e o fortăreață de necucerit, te înșeli: se pare că e suficient să trimiți un mesaj MMS special conceput, iar atacatorul preia controlul complet asupra dispozitivului. Fără niciun clic din partea ta.

Cum funcționează? Totul a pornit de la o vulnerabilitate în procesorul media care procesează imaginile primite. Apoi, escaladarea clasică a privilegiilor prin bug-uri în kernel și drivere. Întregul lanț seamănă cu asamblarea unei mobile IKEA: pare că sunt multe piese, dar dacă știi ordinea, se montează în câteva minute.

Google, desigur, a lansat deja un patch în actualizarea de securitate din iunie. Dar morala nu e să alergi să actualizezi (deși și asta e util), ci că până și cele mai sigure dispozitive sunt vulnerabile dacă există un cercetător cu cafea și o seară liberă.

Pentru dezvoltatori: acest exploit e un motiv excelent să vă reevaluați modelul de amenințări. Mai ales dacă scrieți cod pentru sisteme embedded sau lucrați cu date media. Și e un reminder că securitatea „din cutie” e un mit, iar fiecare strat de protecție necesită atenție.

Comentariul studioului METABYTE: Noi nu suntem Project Zero, desigur, dar dacă aveți nevoie ca codul vostru să reziste la atacuri nu doar din partea MMS-urilor întâmplătoare, ci și la amenințări mai sofisticate, — știți că avem câteva atuuri în mânecă. Și da, și nouă ne place cafeaua.