Google w panice łata Androida. Luka przejmowała telefon
Google wydał właśnie aktualizację zabezpieczeń Androida, która rozprawia się z 46 lukami zabezpieczeń. Jedna z nich została scharakteryzowana jako zero-day.
Krytyczne odkrycie Clémenta Lecigne’a
Najgroźniejszą z załatanych właśnie luk odkrył Clément Lecigne, badacz Google działający w grupie Threat Analysis Group. Ta konkretna luka zero-day (typu use-after-free) oznaczona jako CVE-2024-36971, występuje w jądrze Linuxa używanym przez system Android do zarządzania routowaniem sieci.
Google oznaczył ją w swoim biuletynie bezpieczeństwa jako potencjalnie groźna i możliwa do wykorzystania w ograniczonych, celowanych atakach. A wszystko to pomimo faktu, że wymagała uprawień do wykonywania poleceń na poziomie systemu — w skrócie, jej skuteczność wymagała wykorzystania równolegle innej podatności systemu. Gdy przestępca skutecznie wykorzysta tę lukę, może wykonywać dowolny kod na niezaktualizowanych urządzeniach bez jakiejkolwiek interakcji użytkownika.
Dla przypomnienia, luki zero-day to wada w zabezpieczeniach oprogramowania, sprzętu lub firmware, które przestępcy wykorzystują, zanim dostawca zidentyfikuje i naprawi problem. Termin „zero-day” odnosi się do ilości czasu, jaką deweloper ma na przygotowanie poprawki, czyli zero dni, ponieważ luka została już odkryta lub wykorzystana.
Google nie udostępnił szczegółów technicznych luki, aby zapewnić użytkownikom telefonów i tabletów z Androidem jak najwięcej czasu na aktualizację swoich urządzeń. Poprawki bezpieczeństwa łatające wszystkie 46 luk podzielone są na dwie partie oznaczone datą 1 i 5 sierpnia.
