TrendMicro Maatskappy inligting oor die kwesbaarheid (CVE nie toegewys nie) in die bestuurder , wat 'n onbevoorregte plaaslike gebruiker toelaat om hul kode in die konteks van die Linux-kern uit te voer. Inligting oor die kwesbaarheid word verskaf in die konteks van die Android-platform, sonder om te verduidelik of hierdie probleem spesifiek vir die Android-kern is en of dit ook in die gewone Linux-kern voorkom.
Om die kwesbaarheid te ontgin, benodig die aanvaller plaaslike toegang tot die stelsel. In Android, om aan te val, moet jy eers beheer kry oor 'n onbevoorregte toepassing wat die gesag het om toegang tot die V4L (Video vir Linux) substelsel te verkry, byvoorbeeld 'n kameraprogram. Die mees realistiese gebruik van 'n kwesbaarheid in Android is om 'n uitbuiting in kwaadwillige toepassings in te sluit wat deur aanvallers voorberei is om voorregte op die toestel te eskaleer.
Die kwesbaarheid bly op hierdie tydstip nie opgepas nie. Selfs al is Google in Maart van die probleem in kennis gestel, is 'n oplossing nie by die Android platforms. Die Android-sekuriteitspleister van September stel 49 kwesbaarhede reg, waarvan vier as krities aangeslaan word. Twee kritieke kwesbaarhede is in die multimedia-raamwerk aangespreek en laat kode-uitvoering toe wanneer spesiaal ontwerpte multimediadata verwerk word. 31 kwesbaarhede is reggestel in komponente vir Qualcomm-skyfies, waarvan twee kwesbaarhede 'n kritieke vlak toegeken is, wat 'n afgeleë aanval moontlik maak. Die oorblywende probleme word as gevaarlik gemerk, m.a.w. toelaat om, deur manipulasie van plaaslike toepassings, kode uit te voer in die konteks van 'n bevoorregte proses.
Bron: opennet.ru