TrendMicro şirkəti sürücüdəki boşluq (CVE təyin edilməyib) haqqında məlumat , bu, imtiyazsız yerli istifadəçiyə öz kodunu Linux nüvəsi kontekstində icra etməyə imkan verir. Boşluq haqqında məlumat bu problemin Android nüvəsinə xas olub-olmaması və ya adi Linux nüvəsində də baş verib-verməməsi təfərrüatları olmadan Android platforması kontekstində verilir.
Zəiflikdən istifadə etmək üçün təcavüzkar sistemə yerli giriş tələb edir. Android-də hücum etmək üçün əvvəlcə V4L (Linux üçün Video) alt sisteminə, məsələn, kamera proqramına daxil olmaq səlahiyyətinə malik olan imtiyazsız proqrama nəzarəti əldə etməlisiniz. Android-də zəifliyin ən real istifadəsi, cihazda imtiyazları artırmaq üçün təcavüzkarlar tərəfindən hazırlanmış zərərli proqramlara istismarın daxil edilməsidir.
Zəiflik hazırda yamaqsız olaraq qalır. Mart ayında Google-a problem barədə məlumat verilsə də, düzəliş daxil edilmədi Android platformaları. Sentyabr Android təhlükəsizlik yaması 49 zəifliyi aradan qaldırır, onlardan dördü kritik olaraq qiymətləndirilir. Multimedia çərçivəsində iki kritik boşluq aradan qaldırılıb və xüsusi hazırlanmış multimedia məlumatlarının işlənməsi zamanı kodun icrasına imkan verir. Qualcomm çipləri üçün komponentlərdə 31 boşluq aradan qaldırılıb, onlardan iki boşluq uzaqdan hücuma imkan verən kritik səviyyəyə təyin edilib. Qalan problemlər təhlükəli kimi qeyd olunur, yəni. yerli proqramların manipulyasiyası vasitəsilə imtiyazlı proses kontekstində kodu icra etməyə imkan verir.
Mənbə: opennet.ru