Google устраняет две уязвимости в Android
Обновление направлено на закрытие критических проблем безопасности
В понедельник компания Google выпустила обновление для Android, которое исправляет две уязвимости нулевого дня. Как отметили в компании, существует вероятность ограниченной, целенаправленной эксплуатации этих уязвимостей. Это означает, что Google знает о случаях использования этих уязвимостей хакерами для взлома Android-устройств в реальных условиях.
Одна из уязвимостей, зарегистрированная как CVE-2024-53197, была обнаружена организацией Amnesty International в сотрудничестве с Бенуа Севенсом из группы анализа угроз Google. Эта команда безопасности занимается отслеживанием кибератак, спонсируемых правительствами.
В феврале Amnesty сообщила, что компания Cellebrite, занимающаяся продажей устройств для разблокировки и судебного анализа телефонов, воспользовалась цепочкой из трех уязвимостей нулевого дня для взлома Android-устройств.
Связь с нами: Если у вас есть дополнительная информация об уязвимостях Android, вы можете связаться с Лоренцо Франчесчи-Бичерай через Signal по номеру +1 917 257 1382, или через Telegram и Keybase @lorenzofb, или по электронной почте. Также можно связаться с TechCrunch через SecureDrop.
В этом случае Amnesty обнаружила, что уязвимости, включая ту, что была исправлена в понедельник, использовались против сербского студента-активиста местными властями, вооружёнными инструментами Cellebrite.
Что касается второй уязвимости, CVE-2024-53150, то о ней известно немного, кроме того, что её обнаружением также занимался Севенс, а проблема была найдена в ядре операционной системы.
Google и Amnesty не сразу ответили на запрос комментариев.
В своём отчёте Google сообщил, что «самая серьёзная из этих проблем является критической уязвимостью безопасности в компоненте System, которая может привести к удалённой эскалации привилегий без необходимости дополнительных привилегий на выполнение», добавив, что «для эксплуатации не требуется взаимодействие с пользователем».
Google заявил, что представит исходные коды исправлений для двух уязвимостей в течение 48 часов после публикации отчёта, также отметив, что партнёры Android уведомляются обо всех проблемах как минимум за месяц до их публикации.
Учитывая открытую природу Android, каждый производитель телефонов теперь обязан выпустить исправления для своих пользователей.
