Sebuah kerentanan dalam komponen Android yang dikapalkan dengan menggunakan chip Qualcomm menempatkan pesan teks pengguna dan riwayat panggilan pada risiko pencurian. Kerentanan tersebut ditemukan oleh peneliti keamanan dari FireEye dan ditambal oleh Qualcomm pada bulan Maret yang lalu. Namun, karena kerentanan tersebut diperkenalkan lima tahun lalu, banyak perangkat yang terkena dampak tidak mungkin pernah menerima perbaikan karena mereka tidak lagi didukung oleh produsen mereka.
Kerentanan yang dilacak sebagai CVE-2016-2060, terletak pada komponen Android disebut NETD yang dimodifikasi oleh Qualcomm untuk memberikan kemampuan tambahan tethering. Aplikasi berbahaya bisa mengeksploitasi kerentanan tersebut untuk menjalankan perintah sebagai the radio system user yang memiliki hak istimewa.
Sejak chip Qualcomm menjadi cukup populer bagi produsen handset, para peneliti FireEye memperkirakan bahwa ratusan model ponsel Android yang terpengaruh dan karena ada lebih dari 1,4 miliar perangkat Android aktif di dunia berarti mungkin kerentanan ini ada dalam jutaan perangkat. Menurut penasehat keamanan dari Qualcomm Innovation Center, kerentanan tersebut memengaruhi semua versi, baik Android Jelly Bean, KitKat maupun Lollipop.
Untuk mengeksploitasi kerentanan ini, aplikasi berbahaya hanya membutuhkan izin ACCESS_NETWORK_STATE untuk mengakses API yang terpapar oleh layanan Qualcomm yang dimodifikasi. Hal ini membuat sulit untuk mendeteksi upaya eksploitasi. Menurut Jake Valletta dari FireEye setiap aplikasi bisa berinteraksi dengan API ini tanpa memicu peringatan apapun.
Setelah memperoleh hak radio, aplikasi berbahaya dapat mengakses data aplikasi lain yang berjalan di bawah pengguna yang sama, termasuk aplikasi yang ada di smartphone dan aplikasi perteleponan dari operator yang memiliki akses ke pesan teks, catatan panggilan dan data sensitif lainnya.
Perangkat yang menjalankan Android KitKat (4.4) dan seri Android terbaru lainnya kurang dipengaruhi dibandingkan dengan perangkat yang lebih tua karena adanya Security Enhancements for Android (SEAndroid) secara default. Hal ini membuat pencurian data aplikasi lainnya melalui kerentanan ini tidak mungkin bisa dilakukan.
Sumber: Computer World
Sumber Foto: Android Authority
