- „Hacknout“ váš chytrý telefon může být jednodušší, než se zdá
- Útočníci dokáží vyřadit smartphone z provozu jen pomocí jednoduché SMS zprávy
- Google o problému ví a aktualizace už je na cestě
Představte si zcela běžnou krizovou situaci: na telefonu vytočíte 112, čekáte na spojení, ale telefon je z ničeho nic hluchý, i když jste nic nezmáčkli. Zkrátka smartphone sám od sebe ztratí signál, bez jakéhokoli vysvětlení. Někde na pozadí jste ale mohli obdržet textovou zprávu, která sice oficiálně nedorazila, avšak zcela ochromila možnost volání z vašeho telefonu. Tento děsivý scénář se nazývá „SMS smrti“ a jde o nově odhalenou zranitelnost systému Android, která útočníkům umožňuje na dálku vyřadit telefony z provozu, aniž by oběť musela hnout prstem.
Skrytá SMS dokáže zcela vyřadit váš chytrý telefon
Tuto chybu objevil bezpečnostní pracovník Mark Blaszczyk a jedná se o speciálně upravenou textovou zprávu, kterou systém Android nedokáže správně zpracovat. Na rozdíl od běžné SMS se tato zpráva nikdy neobjeví mezi doručenými zprávami, takže si nevšimnete ničeho podezřelého. Místo toho zpráva způsobí selhání systému, který zpracovává telefonní hovory, a okamžitě přeruší probíhající hovory, včetně volání na tísňové linky. Přerušení hovoru však může být tou nejmenší z vašich starostí vzhledem k tomu, že Android se může neustále pokoušet zpracovat stejnou škodlivou zprávu, čímž může k selhání docházet opakovaně. Blaszczyk uvádí, že již asi 20 takových zpráv může telefon prakticky znefunkčnit a potenciálně ho uvěznit v bootloopu.
Ani obnovení továrního nastavení nemusí být řešením, pokud operátor problematické zprávy znovu odešle. Obnova bez vymazání telefonu může vyžadovat připojení k počítači a ruční smazání zpráv, což je pro běžného uživatele chytrého telefonu nerealistický scénář. Blaszczykovi se podařilo útok úspěšně replikovat na zařízeních Google Pixel a Samsung Galaxy.
Nebezpečný kód pochází již z Androidu 12, riziko však závisí na tom, zda byla na daném zařízení nainstalována příslušná bezpečnostní aktualizace. Starší verze systému Android, které již tyto aktualizace nedostávají, jsou tedy potenciálně v ohrožení. Blaszczyk na tuto zranitelnost poprvé upozornil Google 5. května, avšak tvrdí, že Google jeho hlášení opakovaně odmítal s tím, že se nejedná o bezpečnostní problém.
Řešením je bezpečnostní aktualizace
Řešení situace je poměrně kuriózní – samotný Google údajně již chybu opravil v rámci červencové bezpečnostní aktualizace, nicméně Blaszczyk tvrdí, že oprava přišla až v říjnové bezpečnostní záplatě, a to pro verze Androidu 14 až 17. Vývojáři GrapheneOS pro změnu tvrdí, že oprava teprve dorazí, a to až v rámci listopadové bezpečnostní aktualizace. Tyto časové rámce se nemusí nutně vzájemně vylučovat. Výrobci mohou obdržet bezpečnostní opravy ještě předtím, než se objeví ve veřejné aktualizaci. Pro uživatele systému Android je nejbezpečnějším řešením nainstalovat si nejnovější dostupnou bezpečnostní aktualizaci.
