Google съобщи за отстраняването на критични уязвимости в Android
Декемврийският бюлетин за сигурност на Android включва значима информация за сериозни уязвимости, засягащи платформата. Актуализациите засягат разнообразни проблеми, в това число сериозни пропуски в систематични съставни елементи и модули на трети страни.
Сред всички уязвимости се откроява една в систематичен съставен елемент, която разрешава на нападатели да извършват далечен код без спомагателни привилегии.
Този вид накърнимост е с висока степен на заплаха, защото употребата ѝ може да докара до съществени последствия за потребителите, в случай че защитните механизми на платформата бъдат деактивирани или сполучливо заобиколени.Идентифицирани са и уязвимости в модули на MediaTek, Qualcomm и Imagination Technologies, които засягат графичната обработка, безжичните мрежи и медийните процесори.
Например, казусът в графичните процесори PowerVR (CVE-2024-43077) включва повишение на привилегиите, което може да разреши на нападателите да получат достъп до данни или функционалности на устройството.
За да се понижат рисковете от сполучлива употреба на минусите, Android и Гугъл Play Protect включват редица вградени механизми, в това число автоматизирано следене и предизвестия за закани за потребителите. Освен това в последните версии на Android са внедрени механики, които затрудняват експлоатирането на уязвимостите.
Бюлетинът включва две равнища на кръпки, датирани от 1 и 5 декември 2024 година. Това има за цел да форсира поправките на универсални уязвимости, които засягат множеството устройства.
Устройствата с равнище на сигурност от 1 декември би трябвало да включват ремонти за всички уязвимости, разпознати преди тази дата. Устройствата с равнище на сигурност от 5 декември поправят всички проблеми, упоменати в този и предходните бюлетини.Производителите се предизвикват да обединят поправките за всички уязвимости в една актуализация за улеснение на потребителите. Собствениците на устройства могат да ревизират дали актуализациите са настоящи, като създадат информация в раздела за настройки на Android.
Уязвимостите са групирани съгласно съставените елементи, които засягат. Проблемите, водещи до отдалечено осъществяване на код са отстранени в систематичния съставен елемент. В модулите на MediaTek има уязвимости във видеодекодерите, а в съставените елементи на Qualcomm – уязвимости в безжичната мрежа WLAN.
Актуализациите за сигурност ускоряват отбраната на устройствата от вероятни закани. За да сведете до най-малко рисковете, се предлага да употребявате единствено приложения от надеждни източници и постоянно да актуализирате операционната си система. Подробна информация за съответни уязвимости може да бъде открита в хранилището на Android Open Source Project (AOSP) или от производителите на хардуер.
