Баг превратил сотовые сети в мишень для хакеров
Недавно обнаруженная программная уязвимость может позволить хакерам перехватывать контроль над сотовыми телефонами и ключевыми звеньями глобальной инфраструктуры телекоммуникаций.
Баг, о существовании которого предупредили эксперты CERT в докладе, опубликованном 19 июля, находится в кодовой библиотеке, разработанной пенсильванской фирмой Objective Systems для реализации телефонного стандарта Abstract Syntax Notation One (ASN.1).
Эта библиотека применяется в широком круге телекоммуникационного оборудования: в радиосистемах станций сотовой связи, в маршрутизаторах и коммутаторах и в радиочастотных чипах мобильных телефонов. «Низкоуровневый» характер проблемы подвергает риску все устройство целиком, бессильны тут и новейшие технологии защиты и шифрования.
Взлом осуществляется методом переполнения буфера (heap overflow), требующим хороших навыков и ресурсов. Располагающие всем этим злоумышленники получают возможность выполнять свой код практически на всех перечисленных устройствах.
Ещё более сложным делом представляется организация такой атаки на коммуникационные сети, учитывая необходимость тестирования эксплоита на специфическом оборудовании и трудности внедрения кода в уязвимые компоненты инфраструктуры, но последствия могут быть гораздо более серьёзными.
В настоящее время в точности известно, что проблема затрагивает оборудование Qualcomm. Длинный список других производителей, включая AT&T, BAE Systems, Broadcom, Cisco Systems, Deutsche Telekom и Ericsson, ещё предстоит проверить.
Objective Systems по горячим следам оперативно подготовила патч, но эксперты указывают на трудности его применения к миллионам устройств, разбросанных по самым отдаленным уголкам мира. «Этот тип инфраструктуры вообще не рассчитан на установку исправлений», — указал один из них, Дэн Гвидо (Dan Guido), CEO фирмы Trail of Bits. По их мнению, данная уязвимость останется актуальной неопределённо долгое время.
Сами конечные пользователи пока мало что могут предпринять для своей защиты, кроме как следить за оповещениями от специалистов в области информационной безопасности и производителей.