Samsung отказалась устранять критические уязвимости в старых флагманских смартфонах

4 февраля 2011

smart

Выпуск обновлений

Samsung не стала выпускать обновления прошивок для Samsung Galaxy S4 (I9500) на базе Android Jelly Bean и Android KitKat, ограничившись только обновлением для аппаратов под управлением Android Lollipop. Об этом информируют исследователи из компании QuarksLAB ссылаясь на представителей Samsung.

Как утверждают сотрудник QuarksLAB Джонатана Сальвана (Jonathan Salwan), Samsung была уведомлена о наличии двух уязвимостей в августе 2014 г. У компании ушло три месяца на выпуск заплатки, а ответила она на письмо QuarksLAB только в ноябре 2014 г., в то время, когда QuarksLAB опубликовала сведения об уязвимости в открытом доступе.

Из-за чего Samsung решила не производить патч для Jelly Bean, в компании не уточнили.

Отметим, что Samsung Galaxy S4 — это флагман 2013 г. Он был выпущен в продажу в апреле 2013 г. с ОС Android Jelly Bean. Потом были выпущены обновления до KitKat и Lollipop.

Уязвимости

Обе уязвимости находятся в системном файле Samsung s3cfb_extdsp_ops.c — им присвоены номера CVE-2015-1800 и CVE-2015-1801 — и разрешают преступнику манипулировать оперативной памятью устройства, взламывать защиту Address Space Layout Randomization (ASLR) и приобретать доступ к данным.

Samsung отказалась устранять критические уязвимости в старых флагманских смартфонах

Samsung решила не обновлять ветхие Galaxy S4

Двухлетний Android

Гугл, разработчик платформы Android, не находит разумным исправлять уязвимости в предположениях Android, каковые были выпущены два года назад либо раньше. В январе 2015 г. компания отказалась от исправления одной из таких уязвимостей в Android Jelly Bean и более ранних предположениях.

Растолковывая эту позицию, в Гугл объявили, что «исправлять уязвимость в компоненте, которому уже больше двух лет, было бы не нужно с позиций самой безопасности». Это бы потребовало «трансформации большой части кода» и, в конечном итоге, привести к обратному эффекту, посчитали в компании.

Подобные примеры иногда видятся в индустрии. В июне 2015 г. о нежелании ликвидировать уязвимость в 32-разрядной версии MSIE 11 заявила Микрософт. В корпорации сказали, что эта версия непопулярна.

Уязвимости в аппаратах Samsung

В июне 2015 г. стало известно о критической уязвимости в смартфонах Samsung Galaxy, затрагивающей около 600 млн устройств. Уязвимость разрешает приобретать доступ к датчикам, GPS, микрофону и камерам, незаметно устанавливать вредоносные приложения, вмешиваться в работу вторых операционной системы и приложений смартфона, перехватывать сообщения и прослушивать звонки, приобретать доступ к видеозаписям и фотографиям.