Компания Google выпустила ежемесячные обновления безопасности для ОС Android с исправлениями 33 уязвимостей. При этом одна из проблем безопасности активно эксплуатировались в реальных атаках.
Компания Google, разработчик операционной системы Android, опубликовала ежемесячный бюллетень по безопасности Android за сентябрь 2023 года, который содержит информацию об исправленный уязвимостях безопасности. Также, обновления и бюллетени по безопасности выпустили другие производители устройств под управлением операционной системы Android.
Исправлена уязвимость «нулевого дня», используемая в реальных атаках
Уязвимость нулевого дня в Android Framework с идентификатором CVE-2023-35674 позволяет злоумышленникам повысить привилегии, не требуя взаимодействия с пользователем или дополнительных привилегий.
В бюллетени по безопасности Google отмечает:
Кроме активно эксплуатируемой ошибки нулевого дня, сентябрьские обновления безопасности Android также устраняют три критические ошибки в компоненте Android System и одну ошибку в компонентах с закрытым исходным кодом от Qualcomm.
Три критические ошибки в системе с идентификаторами CVE-2023-35658, CVE-2023-35673 и CVE-2023-35681 могут привести к удаленному выполнению кода после успешной эксплуатации, не требуя дополнительных привилегий выполнения или взаимодействия с пользователем.
Злоумышленники могут использовать эти уязвимости в атаках удаленного выполнения кода, когда средства защиты платформы и сервисов отключены в целях разработки.
Четвертая критическая ошибка, отслеживаемая по идентификатору CVE-2023-28581, описывается компанией Qualcomm как проблема повреждения памяти WLAN Firmware. Она позволяет удаленным злоумышленникам выполнить произвольный код, прочитать конфиденциальную информацию или вызвать системный сбой в атаках низкой сложности, не требующих привилегий или взаимодействия с пользователем.
Два уровня исправлений
В сентябре 2023 года компания Google по традиции выпустила два набора исправлений, обозначенных как уровни исправлений 2023-09-01 и 2023-09-05.
Уровень исправлений 2023-09-05 включает в себя все исправления безопасности из набора 2023-09-01, а также дополнительные исправления для закрытых исходных кодов и компонентов ядра сторонних разработчиков, которые могут быть актуальны не для всех устройств Android.
Производители устройств могут выбирать приоритетное развертывание начального уровня исправлений для ускорения процесса обновления. Такой выбор не обязательно означает повышение риска эксплуатации.
Устройства Google Pixel получат ежемесячные обновления безопасности сразу же, но другим производителям потребуется некоторое время для тестирования и тонкой настройки патчей перед выпуском.
Обновления безопасности Android в этом месяце распространяются на версии Android 11, Android 12 и Android 13. Однако, некоторые уязвимости могут повлиять на старые версии ОС, которые больше не поддерживаются.
Пользователям Android 10 и старше рекомендуется заменить устройство на более новую модель или установить сторонний дистрибутив Android, например на основе AOSP, который предоставляет обновления безопасности для старых устройств.
Источник новости: www.playground.ru
