La vulnerabilidad aún por corregir pone en riesgo a millones de teléfonos Android

Según Google proyecto cero (mediante google de 9 a 5) equipo de analistas de seguridad, millones de teléfonos Android son vulnerables a una vulnerabilidad sin parche conocida como CVE-2022-33917. CVE significa vulnerabilidades y exposiciones comunes y cada número CVE se refiere a un defecto específico. El CVE antes mencionado es una vulnerabilidad que afecta a los dispositivos Android equipados con GPU Mali de ARM. Esto significa que los teléfonos Google Pixel y Samsung Galaxy se ven afectados junto con los teléfonos inteligentes Android fabricados por muchos otros fabricantes. Hasta que se publique el parche, los atacantes tienen el potencial de explotar la falla. Google dice que esto permitiría a los atacantes “continuar leyendo y escribiendo páginas físicas después de que hayan sido devueltas al sistema”. Además, la compañía agrega que “al obligar al kernel a reutilizar estas páginas como tablas de páginas, un atacante con ejecución de código nativo en el contexto de una aplicación podría obtener acceso completo al sistema, eludiendo el modelo de permisos de Android y permitiendo un amplio acceso a los datos del usuario”.

ARM presumiblemente solucionó la vulnerabilidad, pero aún no se ha parcheado.

Project Zero señala que comunicó las vulnerabilidades a ARM, y ARM solucionó los problemas “rápidamente” en julio y agosto de este año. ARM ha asignado el número de defecto CVE-2022-33917. Pero Google descubrió más tarde “que todos nuestros dispositivos de prueba que usaban Mali aún son vulnerables a estos problemas. CVE-2022-36449 no se menciona en ningún boletín de seguridad posterior”. En otras palabras, los dispositivos fabricados por el equipo Pixel de Google, Samsung, Oppo y Xiaomi nunca se actualizaron y aún tienen esta vulnerabilidad explotable.

El equipo de Project Zero de Google ha notificado a ARM de la vulnerabilidad

Tenga en cuenta que los teléfonos en riesgo tienen una GPU Mali que deja fuera de servicio a los dispositivos que funcionan con un conjunto de chips Snapdragon. Sin embargo, los teléfonos que usan chips Google Tensor, Exynos o MediaTek deben actualizarse. La buena noticia es que Google está probando un parche que debería implementarse “en las próximas semanas”. Los fabricantes de teléfonos que construyan dispositivos Android también deberán incluirlo.

La declaración de Google dice: “La solución proporcionada por Arm se encuentra actualmente en pruebas para dispositivos Android y Pixel y se entregará en las próximas semanas. Los socios OEM de Android deberán elegir el parche para cumplir con los futuros requisitos de SPL”.

Google les dice a los proveedores que deben cerrar estos defectos de inmediato

Y Google también tiene palabras de sabiduría para los proveedores de Android que intentan evitar que ocurra un incidente similar en el futuro. La compañía deja en claro que los proveedores tienen la responsabilidad de corregir sus propias fallas de software, al igual que los usuarios de Android tienen que descargar las actualizaciones de seguridad tan pronto como las reciben. disponibles, lo mismo ocurre con los proveedores y las empresas. Podría decirse que minimizar la “brecha del parche” como proveedor en estos escenarios es más importante, ya que los usuarios finales (u otros proveedores intermedios) están bloqueando esta acción antes de que puedan recibir los beneficios de seguridad del parche”, escribió Google. .

El gigante de las búsquedas agregó que “las empresas deben permanecer atentas, seguir de cerca las fuentes ascendentes y hacer todo lo posible para entregar parches completos a los usuarios lo antes posible”.

Google no ha dicho que ningún atacante haya explotado la vulnerabilidad, pero por ahora, sigue siendo una falla que puede usarse para robar datos personales en algunos teléfonos Android. Cuando llegue la actualización, y Google ha dicho que llegará pronto, si tiene un teléfono Android en riesgo, instale la actualización de inmediato. Puede determinar rápidamente si su dispositivo es vulnerable mirando las especificaciones de su teléfono en PhoneArena y verificando el fabricante de la GPU en su dispositivo.

Si muestra que tiene una unidad de procesamiento de gráficos (GPU) ARM Mali, su dispositivo está en riesgo. Siga revisando ya que actualizaremos esta historia cuando el parche esté disponible.