November 22,2021

Trend Micro: certyfikaty z podpisem krzyżowym powodują awarię systemu Android

by Kolbowicz Marek

Firma Trend Micro wykryła błąd w systemie Android 4.4 i wcześniejszych wersjach, który występuje podczas przetwarzania certyfikatów bezpieczeństwa. W związku z tym mobilny system operacyjny Google nie obsługuje certyfikatów z podpisem krzyżowym (certyfikat A podpisuje certyfikat B, a certyfikat B podpisuje certyfikat A). W rezultacie urządzenie z Androidem działa bardzo wolno, a nawet ulega awarii i wymaga ponownego uruchomienia.

Według dostawcy zabezpieczeń błąd dotyczy klas „JarFile” i „KeyStore” platformy Android. Każda funkcja Androida, która używa którejkolwiek z klas, jest podatna na ten błąd. JarFile odpowiada za sprawdzanie certyfikatów i podpisów pakietów jar, natomiast KeyStore przetwarza pliki kluczy w formacie PKCS #12 dla Android KeyStore. Dlatego obie klasy wpadają w niekończącą się pętlę podczas wywoływania certyfikatów z podpisem krzyżowym.

Firma Trend Micro pomyślnie przetestowała tę lukę w dwóch różnych scenariuszach. Zgodnie z nią, certyfikat z podpisem krzyżowym można przemycić za pomocą specjalnie zaprojektowanej aplikacji lub specjalnie przygotowanego breloczka. Z kolei certyfikaty z podpisem krzyżowym mogą być generowane przy użyciu różnych żądań podpisu.

Zrzut ekranu pokazuje, że urządzenie z systemem Android 4.1.2 nie będzie w stanie ukończyć instalacji aplikacji stworzonej przez firmę Trend Micro o nazwie LoopCertsChain, która jest wyposażona w certyfikat z podpisem krzyżowym. „Po bliższym przyjrzeniu się stwierdziliśmy, że kluczowy proces (system_server) zużywa zasoby systemowe do momentu jego zakończenia, co powoduje ponowne uruchomienie. Użytkownik nie ma tu innego wyboru ”, pisze Trend Micro we wpisie na blogu.

Ten sam błąd występuje podczas importowania pliku manipulowanego certyfikatu, kontynuuje firma Trend Micro. Tutaj proces „com.android.certinstaller” wpada w niekończącą się pętlę, którą można zakończyć tylko przez ponowne uruchomienie.

Trend Micro zwraca jednak uwagę, że luka nie ma obecnie znaczenia dla bezpieczeństwa. Możliwe jednak, że dalsza analiza błędu ujawni dodatkowe problemy, które mogą mieć „bardziej bezpośrednie konsekwencje, takie jak wykonanie dowolnego kodu”. Google został poinformowany o błędzie. Jak dotąd jednak nie podał harmonogramu wydawania łatki.

Wskazówka: jesteś koneserem Androida? Sprawdź swoją wiedzę - za pomocą 15 pytań na stronie silicon.de

  • Kolbowicz Marek
  • November 22,2021

Leave a Reply