Ce trebuie sa stii
- Google a găsit un defect de securitate în Android care a permis executarea codului de la distanță, pe care l-a descris drept o „vulnerabilitate critică de securitate”.
- Vulnerabilitatea este ceea ce este cunoscut ca o defecțiune „zero-click”, ceea ce înseamnă că nu necesită interacțiune pentru a fi exploatată.
- Google oferă OEM-urilor o remediere prin Proiectul Android Open Source, dar va fi la latitudinea fiecărui producător de telefoane să trimită actualizări pe smartphone-urile sale.
Google a descoperit o „vulnerabilitate critică de securitate” în Android care face posibil ca un hacker de la distanță să execute cod pe telefonul dvs., a spus în decembrie. Buletin de securitate Android. Compania a oferit deja producătorilor de telefoane Android o soluție, dar fiecare OEM va trebui să trimită propria actualizare pentru a corecta defectul de securitate.
Bug-ul a fost atribuit CVE-2023-40088 în National Vulnerability Database, care oferă mai multe informații. Potrivit raportului NVD, problema apare atunci când telefonul Android încearcă să ruleze un
callback_thread_event de com_android_bluetooth_btservice_AdapterService.cpp. În timpul acestei acțiuni, este posibil ca memoria să fie coruptă cu o vulnerabilitate de utilizare după eliberare.În esență, această problemă determină accesul telefoanelor Android com_android_bluetooth_btservice_AdapterService.cpp fără autorizare după ce memoria sistemului a fost deja dealocată. Acest lucru ar putea permite unui hacker de la distanță să acceseze un telefon cu Android, executând cod fără a fi necesară nicio acțiune de utilizator.
Deși acest defect poate fi executat de la distanță, este de remarcat faptul că un posibil atacator trebuie să fie relativ aproape de tine pentru ca acesta să funcționeze. Poate fi exploatat prin Wi-Fi, Bluetooth sau conexiune wireless NFC.
Google a trimis o remediere pentru versiunile Android 11, 12, 12L, 13 și cea mai recentă Android 14 prin Proiect Android Open Source. Probabil, asta înseamnă că telefoanele Android de pe acele versiuni sunt afectate de eroare. Deoarece această problemă permite executarea codului de la distanță fără a fi necesară interacțiunea utilizatorului, este unul dintre cele mai grave tipuri de vulnerabilități de securitate.
Nici Google, nici NVD nu specifică dacă bug-ul a fost exploatat în mod activ în sălbăticie. De obicei, acest lucru ar fi declarat în cazul în care a fost exploatată o defecțiune de securitate, dar nu știm sigur. Google nu a mai adăugat context pentru vulnerabilitate, ceea ce este de așteptat. Compania probabil nu va oferi mai multe informații până când problema nu va fi corectată și majoritatea dispozitivelor active nu au fost actualizate.
Cu toate acestea, deoarece patch-ul va fi lansat prin AOSP, nu veți vedea o actualizare imediat. Actualizarea va fi trimisă în următoarele două zile, dar fiecare OEM Android trebuie să trimită remedierea după aceea. Telefoanele Pixel ar putea fi primele care primesc patch-ul, dar termenele pot varia pentru alte mărci.
Având în vedere gravitatea acestei probleme, fiți atenți la o actualizare de securitate luna aceasta dacă utilizați un smartphone Android.