Kerentanan di Android Mungkinkan Hacker untuk Melacak Lokasi Pengguna – Kerentanan baru di sistem operasi Android ditemukan yang memungkinkan hacker dengan akses ke router WiFi untuk nelacak pengguna yang terhubung ke router tersebut.
Kerentanan yang diidentifikasi sebagai CVE-2018-9581 tersebut memungkinkan kebocoran informasi yang berasal dari komunikasi antar-proses. Sementara aplikasi di Android biasanya dipisahkan oleh OS dari satu sama lain dan dari OS itu sendiri, masih ada mekanisme untuk berbagi informasi di antara mereka saat diperlukan. Salah satu mekanisme tersebut adalah apa yang disebut “intents”.
Aplikasi atau OS itu sendiri dapat mengirim pesan “intent” keluar, yang di-broadcast ke seluruh sistem dan dapat didengarkan oleh aplikasi lain. Tanpa pembatasan akses dan izin yang tepat, mungkin aplikasi berisi malware untuk melakukan intercept terhadap informasi yang seharusnya tidak dapat diakses.
“Fungsi tersebut ada untuk membatasi siapa yang diizinkan untuk membaca pesan, namun aplikasi [dan OS] pengembang sering mengabaikan untuk menerapkan pembatasan ini dengan benar atau menutupi data sensitif,” jelas peneliti dari Sistem Cybersecurity Nightwatch, dalam sebuah posting yang diterbitkan pada hari Minggu. “Ini mengarah pada kerentanan umum dalam aplikasi Android di mana aplikasi berbahaya yang berjalan di perangkat yang sama dapat memata-matai dan menangkap pesan yang di-broadcast oleh aplikasi lain.”
Dilansir dari Nightwatch, dalam kasus CVE-2018-9581 ditemukan bahwa OS Android menyiarkan informasi tentang koneksi WiFi secara teratur, menggunakan dua “intents” yang berbeda.
“Nilai kekuatan WiFi (RSSI) yang dibroadcast di seluruh sistem secara teratur,” jelas tim. “Tidak ada izin khusus yang diperlukan untuk mengakses informasi ini. Nilai RSSI mewakili kekuatan relatif dari sinyal yang diterima oleh perangkat (lebih tinggi = lebih kuat) tetapi tidak secara langsung berkorelasi dengan kekuatan sinyal fisik yang sebenarnya (dBm).”
Dengan asumsi bahwa ponsel yang lebih dekat ke router Wi-Fi akan menerima sinyal yang lebih kuat, maka menjadi mungkin untuk menyimpulkan lokasi pengguna di rumah atau kantor. Hal ini tampaknya menjadi perhatian kecil, mengingat bahwa mungkin lebih mudah bagi seseorang untuk melacak pergerakan seseorang melalui pengamatan visual, namun eksploitasi celah yang dinilai moderat ini dapat berguna bagi mereka yang bermaksud menyakiti fisik atau merencanakan perampokan secara matang. Ada juga aspek pengawasan misalnya, seorang karyawan dapat menyimpan catatan tentang di mana karyawan lain menghabiskan waktu mereka – misalnya untuk mengetahui apakah mereka kebanyakan berada jauh dari meja mereka, atau jika mereka menghabiskan terlalu banyak waktu di ruang istirahat.
Semua versi Android diyakini akan terpengaruh (meskipun pada Android 9 salah satu dari dua jenis broadcast tidak lagi mengungkapkan data sensitif, sebagai bagian dari perbaikan untuk bug terkait, CVE-2018-9489). Para peneliti mengatakan mereka tidak yakin apakah celah ini telah dimanfaatkan oleh haceker di luaran sana. Google telah mengakui masalah ini, meskipun patch belum dirilis. (yuyudhn/linuxsec)
