Израильский исследователь обнаружил более 40 уязвимостей в ОС Tizen

Израильский исследователь обнаружил более 40 уязвимостей в ОС Tizen

Израильский исследователь обнаружил более 40 уязвимостей в ОС Tizen

Операционная система Tizen построена на базе ядра Linux. Она была разработана и продолжает поддерживаться участниками Technical Steering Group, в состав которой входят такие гиганты индустрии, как Intel и Samsung. И именно компания Samsung попыталась использовать Tizen в качестве своебразной замены Android.

Хотя полноценной замены из Tizen явно не вышло, в настоящее время под ее управлением работают около 30 миллионов «умных» телевизоров, стиральные машины, холодильники, «умные» часы (в том числе Samsung Gear), а также некоторые смартфоны Samsung, в основном выпускаемые для рынков России, Индии и Бангладеш. Так, в этом году компания планирует поставить на рынок более 10 миллионов Tizen-смартфонов, пишет xakep.ru.

Еще восемь месяцев назад Амихай Нейдерман (Amihai Neiderman), глава исследовательского подразделения израильской компании Equus Software, решил провести аудит безопасности ОС Tizen, так как, по его словам, больше этим вопросом никто не интересовался. На конференции Security Analyst Summit специалист выступил с докладом, рассказав о своих «находках», обнаруженных в ходе анализа. Дело в том, что Нейдерман выявил в ОС более сорока 0-day уязвимостей и пришел в ужас от качества кода. «Уязвимы практически все системные приложения», — сетует эксперт.

 

Исследователь обнаружил, что разработчики Samsung не стали утруждаться и позаимствовали немалую часть кода из операционной системы Bada, которую Samsung разрабатывала ранее. В итоге кодовая база ОС выглядит устаревшей «будто на дворе все еще 2005 год», — говорит Нейдерман.

«Это, вероятно, самый плохой код, что я видел в жизни. Всё, что можно было сделать неправильно, сделано неправильно. Очевидно, что люди, разбирающиеся в безопасности, даже не просматривали этот код и не писали его. Все равно что нанять недоучку и позволить ему написать для вас ПО», — рассказал исследователь журналистам Vice Motherboard.

Впрочем, большинство уязвимостей все-таки новые: они содержатся в коде, который был написан специально для Tizen в последние годы. К примеру, эксперту удалось взломать Samsung Smart TV при помощи уязвимости в каталоге приложений Tizen Store, который является эквивалентом Google Play Store. С помощью Tizen Store на устройство можно доставить любую малварь, а за счет высоких привилегий каталога возможности хакера ничем не ограничены, он получает полный контроль над устройством. Плюс heap overflow баг позволяет обойти аутентификацию Tizen Store.

Дальнейшее изучение ОС также выявило некорректное использование функции strcpy(), большие проблемы с реализацией SSL-шифрования, из-за которых информация передается в открытом виде, и множество других уязвимостей.

По словам Нейдермана, Samsung определенно планирует развивать Tizen и далее, для ОС явно готовят что-то крупное. В ходе своего выступления исследователь рассказал, что Samsung в частности призывает разработчиков писать для операционной системы больше приложений и активно расширяет инфраструктуру поддержки. «Велика вероятность, что в следующем году Galaxy S9 будут работать на Tizen, но ОС для этого еще недостаточно зрелая», — говорит специалист.

При этом за все прошедшие месяцы специалист так и не сумел связаться с представителями Samsung, хотя долго и безуспешно пытался сообщить им о проблемах. Только теперь, когда Нейдерман публично рассказал о небезопасности Tizen на Security Analyst Summit, и информация попала в прессу, представители Samsung «заметили» исследователя и поспешили заверить общественность, что работа над исправлением уязвимостей уже ведется. Нейдерман подтвердил, что связь с разработчиками Samsung налажена. В настоящий момент он помогает компании в работе над патчами.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Александр Осипов занял пост директора по продуктовому портфелю RED Security

RED Security объявила о назначении Александра Осипова директором по продуктовому портфелю компании. Александр Осипов обладает более чем 10-летним опытом работы в отрасли информационных технологий и кибербезопасности.

До прихода в RED Security он пять лет возглавлял направление облачных и инфраструктурных решений оператора «Мегафон».

Александр Осипов начал карьеру в ИТ в 2013 году. Он начал с позиции менеджера по маркетингу российского провайдера облачных сервисов NGENIX. Затем участвовал в запуске и развитии ИТ- и ИБ-сервисов NGENIX.

В 2017 году Александр перешел в «Мегафон», где начал заниматься развитием платформенных решений для корпоративного бизнеса. В «Мегафоне» Осипов начинал с должности специалиста по продуктам в сфере сетевых технологий и кибербезопасности, а покинул компанию директором по облачным и инфраструктурным решениям.

В этой роли Александр отвечал за продуктовую стратегию «Мегафона» в сегментах облачных продуктов, сервисов кибербезопасности, сетевых и IoT-решений для коммерческого и государственного сектора.

Под руководством Александра Осипова в «Мегафоне» были успешно запущены и выведены на как минимум безубыточность платформа «МегаФон Облако», сервисы центра мониторинга и реагирования на кибератаки (SOC), управляемые сервисы кибербезопасности (MSS) и другие решения компании сферы ИТ и ИБ. Эти сервисы были отмечены отраслевыми премиями, включая Digital Leaders Award и «Большая цифра».

В RED Security Александр Осипов будет отвечать за управление портфелем продуктов, технологическое сопровождение и развитие сервисов, причем как новых решений, так и модернизация уже имеющихся в соответствии с требованиями рынка.

«Александр обладает многолетним опытом управления продуктовым портфелем по кибербезопасности в крупнейших российских компаниях. Он ориентируется на создание комплексного предложения в сфере защиты от киберугроз, опираясь при этом как на мировые технологические тренды, так и на актуальные потребности российских заказчиков из корпоративного сегмента. Мы рады приветствовать Александра в нашей команде и уверены, что его опыт поможет компании реализовать стратегию по формированию открытой экосистемы ИБ-решений и экспертизы для надёжной защиты бизнеса. Кроме того, успех направлений кибербезопасности, за которые Александр отвечал в других компаниях, подтверждает, что он сможет достичь амбициозных целей RED Security по достижению высочайшего уровня наших сервисов», – подчеркнул Иван Вассунов, генеральный директор компании RED Security.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru