TEMPO.CO, San Francisco: Kurang dari dua bulan setelah Google menangani serangan Stagefright dengan pembaruan Android terbesar, para peneliti yang pertama kali mengungkapkan serangan itu mengumumkan mereka telah menemukan ancaman serius dan luas lainnya untuk perangkat Android.
"Ketemu Stagefight 2.0, dua kerentanan yang hadir ketika memproses file audio MP3 atau video MP4," tulis perusahaan keamanan ponsel Zimperium dalam sebuah posting blog.
Kerentanan pertama mempengaruhi hampir setiap perangkat Android sejak versi 1.0, yang dirilis pada tahun 2008, kata para peneliti. Secara bersama-sama, kedua bug dapat memungkinkan penyerang untuk mengeksekusi kode arbitrary pada perangkat yang terkena via file MP3 atau MP4.
Para peneliti menemukan cara untuk mengeksploitasi kelemahan pada perangkat yang menjalankan Android 5.0 dan lebih baru, tetapi mengatakan perangkat yang lebih tua mungkin terkena dampak melalui aplikasi pihak ketiga seperti media player dan instant messenger.
Bug itu tampaknya terletak pada cara metadata diproses, "sehingga hanya dengan preview lagu atau video akan memicu masalah."
Cacat itu kemungkinan besar tereksploitasi melalui browser Web setelah penyerang meyakinkan pengguna yang tidak curiga untuk mengunjungi URL berbahaya, seperti situs phishing mobile atau kampanye iklan berbahaya.
Zimperium mengatakan telah memberitahu Tim Keamanan Android Google tentang masalah itu pada 15 Agustus, dan mereka "menanggapi dengan cepat”.
Perusahaan keamanan itu mengatakan akan memperbarui aplikasi Stagefright Detector. "Kami mendorong vendor untuk memperbarui perangkat Android mereka untuk memasukkan perbaikan ini sesegera mungkin," tulis Zimperium.
Sementara itu, perusahaan memperingatkan bahwa ini bukan yang terakhir dari Stagefright. "Karena semakin banyak peneliti meneliti berbagai kerentanan yang ada dalam perpustakaan Stagefright dan perpustakaan terkait, kami menduga akan melihat lebih banyak kerentanan di wilayah yang sama," tulis Zimperium.
Bulan lalu, Zimperium menerbitkan rincian tentang eksploitasi Stagefright awal. "Membuat kode itu tersedia untuk masyarakat umum memungkinkan tim keamanan, administrator, dan penguji penetrasi mengetes apakah sistem tetap rentan," kata Zimperium.
PCMAG | ERWIN Z
