Google исправит целый класс уязвимостей в памяти Android 11
2 июля 2020 года
Компания Google поделилась подробностями о борьбе с проблемами памяти в Android 11, а также о других улучшениях безопасности, которые появятся в следующей версии ОС. Одно из главных улучшений в новой версии операционной системы связано с инициализацией памяти, которая, как ожидается, устранит целый класс уязвимостей в C/C ++ — проблемы неинициализированной памяти.
Подобные уязвимости обычно появляются, когда память используется без предварительной инициализации известного безопасного значения. Как пояснили специалисты, переменная имеет прежнее значение, которое злоумышленники могут предугадать и даже контролировать. Это может привести к раскрытию информации, включая обход технологии ASLR (рандомизация расположения адресного пространства) или перехват потока управления с использованием техники распыления стека или кучи (Heap Spray).
«На практике использование неинициализированной памяти трудно обнаружить. Такие проблемы могут оставаться в кодовой базе незамеченными годами, если в большинстве случаев память инициализируется неким «безопасным» значением. Когда неинициализированная память приводит к проблеме, часто бывает сложно определить ее источник, особенно если она редко появляется. Устранение целого класса таких ошибок намного эффективнее, чем поиск их по отдельности», — отметила Google.
Альтернативой является автоматическая инициализация переменных стека, которая инициализирует локальные переменные либо с нулями, либо с шаблоном: первый безопаснее для строк, указателей, индексов и размеров, а второй, как правило, безопаснее для возвращаемых значений.
С выпуском Android 11 Scudo заменит jemalloc в качестве стандартного распределителя памяти по умолчанию. Scudo может помочь выявить и предотвратить эксплуатацию уязвимостей повреждения памяти кучи, таких как двойное освобождение, произвольное освобождение, переполнение буфера в куче и использование после освобождения.
Новая версия Android также содержит встроенный в Scudo инструмент обнаружения уязвимостей кучи GWP-ASan и поддержку ядра HWASAN.
Источники[править]
Эта статья содержит материалы из статьи «Google исправит целый класс уязвимостей в памяти Android 11», опубликованной на сайте SecurityLab.ru и распространяющейся на условиях лицензии Creative Commons Attribution 3.0 Unported (CC-BY 3.0 Unported). |
Любой участник может оформить статью: добавить иллюстрации, викифицировать, заполнить шаблоны и добавить категории.
Любой редактор может снять этот шаблон после оформления и проверки.
Комментарии[править]
Если вы хотите сообщить о проблеме в статье (например, фактическая ошибка и т. д.), пожалуйста, используйте обычную страницу обсуждения.
Комментарии на этой странице могут не соответствовать политике нейтральной точки зрения, однако, пожалуйста, придерживайтесь темы и попытайтесь избежать брани, оскорбительных или подстрекательных комментариев. Попробуйте написать такие комментарии, которые заставят задуматься, будут проницательными или спорными. Цивилизованная дискуссия и вежливый спор делают страницу комментариев дружелюбным местом. Пожалуйста, подумайте об этом.
Несколько советов по оформлению реплик:
- Новые темы начинайте, пожалуйста, снизу.
- Используйте символ звёздочки «*» в начале строки для начала новой темы. Далее пишите свой текст.
- Для ответа в начале строки укажите на одну звёздочку больше, чем в предыдущей реплике.
- Пожалуйста, подписывайте все свои сообщения, используя четыре тильды (~~~~). При предварительном просмотре и сохранении они будут автоматически заменены на ваше имя и дату.
Обращаем ваше внимание, что комментарии не предназначены для размещения ссылок на внешние ресурсы не по теме статьи, которые могут быть удалены или скрыты любым участником. Тем не менее, на странице комментариев вы можете сообщить о статьях в СМИ, которые ссылаются на эту заметку, а также о её обсуждении на сторонних ресурсах.