Miliony smartfonów z Androidem są zagrożone z powodu niezałatanych luk w sterowniku procesora graficznego ARM Mali. Choć ARM wydał już stosowne poprawki, nie zawsze trafiły one na pokłady napędzanych nimi urządzeń.
Od wielu miesięcy zestaw pięciu luk bezpieczeństwa o średnim stopniu ważności w sterowniku procesora graficznego ARM Mali pozostaje niezałatany na urządzeniach z Androidem, pomimo wydania odpowiednich poprawek przez ARM. Wykryto je w ramach Google Project Zero, a ARM zajął się nimi w lipcu i sierpniu tego roku.
Te poprawki nie dotarły jeszcze do dotkniętych urządzeń z Androidem (w tym Pixel, Samsung, Xiaomi, Oppo i innych). Urządzenia z procesorem graficznym Mali są obecnie podatne na ataki.
– powiedział Ian Beer, Google Project Zero
Luki oznaczone zbiorczo identyfikatorami CVE-2022-33917 oraz CVE-2022-36449 dotyczą przypadku nieprawidłowego przetwarzania pamięci, umożliwiając tym samym nieuprzywilejowanemu użytkownikowi uzyskanie dostępu do zwolnionej pamięci. Druga z wymienionych wad może być nadal wykorzystywana do zapisywania poza granicami bufora i ujawniania szczegółów mapowań pamięci.
Skuteczne wykorzystanie luk może umożliwić osobie atakującej z uprawnieniami do wykonywania kodu natywnego w kontekście aplikacji przejęcie kontroli nad systemem i ominięcie modelu uprawnień systemu Android w celu uzyskania szerokiego dostępu do danych użytkownika. Może to narazić miliony urządzeń z Androidem na ataki i zwiększone wykorzystanie przez cyberprzestępców.
Tak jak użytkownikom zaleca się instalowanie poprawek tak szybko, jak to możliwe, gdy tylko dostępna jest wersja zawierająca aktualizacje zabezpieczeń, tak samo dotyczy dostawców i firm. Firmy muszą zachować czujność, uważnie śledzić źródła wyższego szczebla i dołożyć wszelkich starań, aby jak najszybciej dostarczyć użytkownikom kompletne poprawki.
– dodał Ian Beer
Zobacz: Google nielegalnie śledził użytkowników. Jest kara
Zobacz: Sklep Google Play straszy. Źle klikniesz i tracisz pieniądze
Źródło zdjęć: rafapress / Shutterstock.com
Źródło tekstu: The Hacker News
