Нов додаток „SMS of Death“ за Android може далечински да ги урне неажурираните телефони

Истражувач за сајбер-безбедност објави додаток за докажување на концептот (Proof-of-Concept – PoC) за ранливост во Android, која неодамна беше ажурирана. Ранливоста, наречена „SMS of Death“ и заведена под ознаката CVE-2026-58882, им овозможува на напаѓачите далечински да ја прекинат мобилната мрежна услуга или да предизвикаат паѓање на телефоните со испраќање специјално изработена текстуална порака.

Овој пропуст, кој овозможува напад од типот Denial-of-Service (DoS) без никаква интеракција од жртвата, може да ги прекине тековните телефонски повици, вклучително и повиците за итни случаи. Дополнителен проблем е тоа што Android ја обработува пораката пред таа да пристигне во SMS-приемното сандаче, поради што жртвите не добиваат никаква видлива индикација за причината поради која телефонот им се урнал.

Според истражувачот на ранливоста, Марк Бла (Mark Blah), Google наводно го ажурирал пропустот во рамките на своите безбедносни ажурирања за Android од октомври 2026 година, наменети за верзиите Android 14 до 17. Сепак, ранливоста не е наведена во октомвричниот безбедносен билтен на Google, додека постарите уреди со Android 12 и 13 остануваат ранливи бидејќи не го добиле потребното безбедносно решение.

Бла објави и техничка анализа на ранливоста, која е предизвикана од неправилна валидација на вредноста за должината на заглавието во функцијата WapPushOverSms.decodeWapPdu на Android.

За да ја искористи ранливоста, напаѓачот може да испрати специјално форматирана осумбајтна WAP Push-порака до целните телефони:

01 06 88 80 80 80 00 BE   → sent as a data SMS to port 2948

Кога оваа вредност се конвертира во 32-битен цел број со знак (signed 32-bit integer), без претходна проверка на дозволените граници, таа добива вредност од -2147483648.

Кога Android се обидува да додели меморија користејќи ја оваа негативна вредност, се активира исклучокот NegativeArraySizeException, што предизвикува паѓање на процесот com.android.phone.

Бидејќи процесот com.android.phone управува со функциите на мобилната телефонија, неговото паѓање ја нарушува мобилната поврзаност и ги прекинува тековните телефонски повици, вклучително и повиците кон службите за итни случаи.

Истражувачот наведува дека нападот може да предизвика и повторени паѓања на системот кога мобилните оператори се обидуваат повторно да ги испорачаат злонамерните пораки или кога Android се обидува да ги обработи пораките што веќе се зачувани во телефонот.

При тестирањето на ранливоста, истражувачот открил дека испраќањето 20 злонамерни пораки може да предизвика телефоните да заглават во бесконечен циклус на рестартирање (reboot loop). Кај еден уред со Android 12, телефонот се рестартирал во режимот за обновување (Recovery Mode) приближно на секои 90 секунди, поради што било потребно ресетирање на фабричките поставки за повторно да може да се користи.

Соработник на GitHub со име Сакис (Sakis) открил начин за отстранување на злонамерните пораки со помош на Android Debug Bridge (ADB), но оваа постапка бара понапредно техничко знаење и пристап до компјутер.

Истражувачот објавил и експлоит за докажување на концептот (PoC), кој овозможува испраќање на злонамерните пораки од друг Android уред.

Безбедносната исправка на Google, насловена „Fix remote DoS in decodeWapPdu“, го спречува паѓањето на системот со тоа што ги пресретнува исклучоците што се активираат при обработката на неправилно форматираните текстуални пораки.

Закрпата исто така ги брише злонамерните пораки од SMS-базата на податоци, со цел да спречи нивно повторно активирање и предизвикување нови падови на системот.

Безбедносните ажурирања за Android генерално се инсталираат автоматски на поддржаните уреди, но нивната достапност зависи од производителот на уредот и мобилниот оператор. За завршување на инсталацијата може да биде потребно и рестартирање на телефонот.

По објавувањето на функционален експлоит за докажување на концептот (PoC), на корисниците на Android силно им се препорачува да ги инсталираат најновите безбедносни ажурирања за да ги заштитат своите уреди.

Извори:

• Bleeping Computer – New Android SMS of Death exploit can remotely crash unpatched phones Bleeping Computer