Android má dve kritické RCE a jednu zero-day zraniteľnosť
Spoločnosť Google vydala v apríli balík opráv 68 zraniteľností vo svojom systéme Android a jeho komponentoch. Z nich 6 je označených ako kritické. Jedna vysoko závažná zraniteľnosť ovládača GPU Arm Mali je aktívne zneužívaná.
Zraniteľné systémy:
Zariadenia s OS Android v. 11, 12, 12L, 13
Zariadenia s čipom Arm Mali
Opis činnosti:
Spoločnosť Google vydala pre operačný systém Android a hardvérové komponenty Arm, Imagination Technologies, MediaTek, Unisoc a Qualcomm vo svojom aprílovom balíku opravy 68 zraniteľností. Z toho sú ako kritické hodnotené 2 zraniteľnosti v jadre systému a 4 v komponente Qualcomm. Jedna zraniteľnosť GPU Arm Mali je aktívne zneužívaná.
CVE-2023-21085
Kritická zraniteľnosť v komponente System umožňujúca vzdialené vykonávanie kódu. Útočník pre jej zneužitie nepotrebuje žiadne dodatočné oprávnenia, ani interakciu obete.
CVE-2023-21096
Kritická zraniteľnosť v komponente System umožňujúca vzdialené vykonávanie kódu. Súvisí s nevhodným overovaním vstupov. Útočník ju môže zneužiť tak, že presvedčí obeť, aby otvorila špeciálne vytvorený súbor.
CVE-2022-38181
Vysoko závažná zero-day zraniteľnosť v ovládači pre grafický procesor Arm Mali umožňuje použitie dealokovaného miesta v pamäti. Útočník bez oprávnení tak môže získať schopnosť vzdialene vykonávať kód so zvýšenými oprávneniami. Zneužívanie tejto zraniteľnosti je pozorované od novembra 2022.
Závažnosť zraniteľnosti: Vysoká
Možné škody:
- Vzdialené vykonávanie kódu
- Zvýšenie oprávnení
Odporúčania:
Bezodkladná inštalácia najnovších aktualizácií na zariadeniach Android.
Odkazy:
https://source.android.com/docs/security/bulletin/2023-04-01