Компания Google выпустила январское обновление Android Security 2025, устраняющее несколько критических уязвимостей безопасности, включая уязвимость удалённого выполнения кода (RCE) в компоненте System и критическую уязвимость переполнения стека в чипсете MediaTek.
Эти уязвимости, в случае их эксплуатации, могут позволить злоумышленникам удалённо выполнить код или скомпрометировать устройства без участия пользователя, что представляет значительный риск для затронутых Android-устройств.
Компонент Android System содержит пять критических уязвимостей RCE:
- CVE-2024-43096
- CVE-2024-43770
- CVE-2024-43771
- CVE-2024-49747
- CVE-2024-49748
Эксплуатация этих уязвимостей не требует специальных привилегий, а успешная эксплуатация может позволить злоумышленникам удалённо выполнить вредоносный код на устройстве. Эти уязвимости присутствуют во всех версиях Android с 12 по 15, затрагивая широкий спектр устройств.
Бюллетень Google подчеркивает серьёзность этих уязвимостей, указывая на возможность их эксплуатации в сценариях, когда встроенные средства защиты платформы обходятся или отключаются. Устранение этих уязвимостей предусмотрено в устройствах с уровнем обновления безопасности 2025-01-05 или более поздней версии.
Ещё одна серьёзная проблема — уязвимость переполнения стека (CVE-2024-20154) в чипсете MediaTek. Эта уязвимость, подробно описанная в январском бюллетене MediaTek, позволяет осуществить RCE, если устройство подключается к неавторизованной базовой станции, контролируемой злоумышленником.
Уязвимость затрагивает широкий спектр чипсетов MediaTek, включая MT6767, MT6781 и MT6877, и влияет на программное обеспечение модемов версий LR12A, LR13 и NR16.R1.MP. Проблема оценивается как критическая из-за возможности компрометации устройств без вмешательства пользователя или дополнительных привилегий на выполнение.
Помимо критических недостатков, Google устранила уязвимости высокой степени серьёзности в компонентах Framework, Media Framework и System. Они включают в себя уязвимости повышения привилегий (EoP) и отказа в обслуживании (DoS), которые могут позволить злоумышленникам повысить привилегии локально или нарушить функциональность устройства.
Компании Qualcomm и MediaTek также раскрыли несколько уязвимостей высокой степени серьёзности в своих проприетарных компонентах, хотя ни одна из уязвимостей Qualcomm не получила критической степени серьёзности.
Google включила исправления в патчи безопасности 2025-01-01 и 2025-01-05. Пользователям настоятельно рекомендуется обновить свои устройства, чтобы снизить потенциальные риски. Производители устройств и их партнёры получили исправления и вскоре распространят обновления на затронутые устройства, но в зависимости от модели может потребоваться некоторое время, чтобы они дошли до конечных пользователей.
Материалы: Cyberinsider.com (Bill Mann)