Google исправила две уязвимости безопасности на устройствах Android
Google выпустила обновление для своей операционной системы Android, исправляющее две уязвимости нулевого дня, которые, по мнению компании, «могут эксплуатироваться ограниченно и целенаправленно». Это означает, что Google известно о том, что хакеры использовали и, возможно, продолжают использовать эти уязвимости в реальных сценариях для взлома устройств Android.
Поскольку хакеры воспользовались ошибками в системе безопасности Android до того, как разработчики узнали об этом и выпустили исправления, то атаку на систему безопасности можно назвать атакой нулевого дня. Компания также предположила, что одним из двух недостатков безопасности была уязвимость нулевого клика, означающая, что для нарушения безопасности целевых устройств Android не требовалось взаимодействия с пользователем.
Одна из двух уязвимостей безопасности нулевого дня, обозначенная как «CVE-2024-53150», была впервые обнаружена глобальной некоммерческой организацией Amnesty в сотрудничестве с Бенуа Севенсом из группы анализа угроз Google - команды безопасности технологического гиганта. В феврале этого года был опубликован отчет, в котором говорилось, что израильский поставщик криминалистического программного обеспечения Cellebrite якобы использовал три уязвимости нулевого дня для взлома телефонов Android. Стоит отметить, что среди клиентов Cellebrite есть правоохранительные органы, желающие использовать инструменты компании для разблокировки и криминалистического анализа устройств, конфискованных в связи с их расследованиями.
Вторая уязвимость безопасности нулевого дня, обозначенная как «CVE-2024-53197», также была отмечена командой безопасности Google Sevens, которая в первую очередь отслеживает поддерживаемые государством кибератаки. Сообщается, что эта уязвимость была обнаружена в ядре операционной системы Android.
«Самой серьезной из этих проблем является критическая уязвимость безопасности в компоненте System, которая может привести к удаленному повышению привилегий без необходимости предоставления дополнительных привилегий выполнения», — говорится в бюллетене по безопасности Google. «Оценка серьезности основана на влиянии, которое эксплуатация уязвимости может оказать на затронутое устройство, при условии, что платформа и средства смягчения последствий отключены или успешно обходятся».
Google также заявила, что исправления исходного кода для этих уязвимостей будут выпущены в течение следующих 48 часов и доступны в репозитории «Android Open Source Project» (AOSP). Партнеры Android обычно уведомляются обо всех таких проблемах как минимум за месяц до выпуска бюллетеня безопасности.
Теперь, учитывая тот факт, что Android имеет открытый исходный код, каждому производителю телефонов приходится самостоятельно выпускать исправления для своих пользователей.
