Stfw.Ru
Julio Lopez/unsplash.com
Подробности об уязвимости CVE202658882, получившей неофициальное название SMS of Death сообщил исследователь безопасности Марк Блах (Mark Blah). Это уязвимость типа «отказ в обслуживании» (DoS), которая не требует никаких действий со стороны пользователя — достаточно самого факта поступления сообщения на смартфон. Android обрабатывает его ещё до того, как оно попадет в папку «Входящие», поэтому сразу сложно определить, что именно стало причиной сбоя.
По словам исследователя, Google устранила эту уязвимость в октябрьских обновлениях безопасности Android 2026 года (для версий с 14-й по 17-ю), а устройства под управлением более старых версий — Android 12 и 13 — остаются уязвимыми.
Уязвимость связана с некорректной проверкой значения длины заголовка в функции WapPushOverSms.decodeWapPdu операционной системы Android. При преобразовании данных в специально сформированном восьмибайтовом WAP Push-сообщении в 32 битное целое число со знаком (без проверки границ диапазона) система получает отрицательное значение, которое вызывает критическое исключение NegativeArraySizeException. В результате аварийно завершается процесс com.android.phone, отвечающий за сотовую связь. Как следствие, прерываются текущие звонки (включая вызовы в экстренные службы).
Исследователь отметил, что атака может приводить к повторным сбоям: например, когда оператор связи пытается повторно доставить вредоносное сообщение или когда Android пытается обработать сообщения, уже сохраненные в памяти устройства. Их можно удалить вручную через Android Debug idge (ADB), но это доступно технически подкованным пользователям.
Блах опубликовал концепт эксплойта (proof-of-concept), позволяющий отправлять такие вредоносные сообщения с другого устройства на базе Android. В связи с этим пользователям Android-устройств рекомендуется установить последние обновления безопасности.
