Аналитика
Истражувач за безбедност објави „доказ за концепт“ (PoC) – експлоит за неодамна закрпена ранливост во Android, наречена „SMS на смртта“ (SMS of Death) и заведена под ознаката CVE-2026-58882. Оваа ранливост им овозможува на напаѓачите од далечина да ја прекинат мобилната услуга или да предизвикаат пад на телефоните преку испраќање на специјално креирана текстуална порака. „Доказ за концепт“ (PoC) претставува демонстрација, скрипта или примерок од код кој потврдува дека одредена софтверска или хардверска ранливост навистина може да се активира.
Овој пропуст, кој овозможува напад од типот „оневозможување на услугата“ (denial-of-service) без потреба од каква било интеракција од страна на корисникот, може да ги прекине тековните повици, вклучително и повиците кон службите за итни случаи. Уште полошо е тоа што Android ја обработува пораката уште пред таа да стигне во сандачето за SMS пораки, поради што жртвите немаат никаков видлив показател за тоа што предизвикало пад на нивните телефони.
Според истражувачот Марк Бла (Mark Blah), Google наводно ја закрпил оваа ранливост во безбедносните ажурирања за Android од октомври 2026 година, кои се однесуваат на верзиите од Android 14 до 17. Сепак, овој пропуст не е наведен во октомврискиот безбедносен билтен на Google, а постарите уреди со Android 12 и 13 остануваат ранливи бидејќи за нив не е достапна соодветната поправка.
Бла објави техничка анализа на пропустот, кој настанува поради несоодветна проверка на вредноста за должината на заглавието (header-length) во функцијата `WapPushOverSms.decodeWapPdu` во рамките на Android.
За да ја искористи оваа ранливост, напаѓачот може да испрати неправилно форматирана WAP Push порака (со должина од осум бајти) до целните телефони:
01 06 88 80 80 80 00 BE → испратена како „data SMS“ (SMS со податоци) на портата 2948.
Кога оваа вредност ќе се претвори во 32-битен цел број со знак (signed integer), без претходна проверка на границите, таа добива вредност од -2147483648.
Кога Android ќе се обиде да алоцира меморија користејќи ја оваа негативна вредност, доаѓа до појава на исклучок од типот `NegativeArraySizeException`, што предизвикува пад на процесот `com.android.phone`.
Бидејќи процесот `com.android.phone` управува со функциите на мобилната мрежа, неговиот пад доведува до прекин на мобилната конекција и прекинување на тековните телефонски повици, вклучително и повиците кон службите за итни случаи. Истражувачот вели дека нападот може да предизвика и повторени падови кога операторите се обидуваат повторно да ги достават злонамерните пораки или кога Android се обидува да ги обработи пораките што веќе се зачувани на телефонот.
При тестирањето на пропустот, истражувачот открил дека испраќањето 20 злонамерни пораки може да предизвика телефоните да се заглават во циклуси на рестартирање. На еден уред со Android 12, телефонот се рестартирал во режим на обновување приближно на секои 90 секунди, што барало од корисникот да изврши ресетирање на фабричките поставки за да се опорави.
Сакис, соработник на GitHub, открил начин за отстранување на злонамерните пораки со помош на Android Debug Bridge (ADB), но процесот бара понапредно техничко знаење и пристап до компјутер.
Истражувачот објавил експлоит за доказ за концепт што може да ги испрати злонамерните пораки од друг Android уред.
Поправката на Google, насловена како „Поправка на далечински DoS во decodeWapPdu“, ги спречува падовите со фаќање на исклучоците што се активираат кога Android ги обработува погрешно форматираните текстуални пораки.
Закрпата, исто така, ги брише злонамерните пораки од базата на податоци за СМС-пораки, со цел да спречи тие да предизвикаат повторени падови на системот.
Безбедносните ажурирања за Android обично се инсталираат автоматски на поддржаните уреди, но нивната достапност зависи од производителот на уредот и од мобилниот оператор, а за завршување на инсталацијата може да биде потребно рестартирање на уредот.
Бидејќи сега е објавен функционален експлоит (како доказ за концептот), на корисниците на Android силно им се препорачува да ги инсталираат најновите безбедносни ажурирања за да ги заштитат своите уреди, се наведува во објавата на Bleeping Computer.
(Фото: AI илустрација)
