Virksomheden TrendMicro information om sårbarheden (CVE ikke tildelt) i driveren , hvilket giver en ikke-privilegeret lokal bruger mulighed for at udføre sin kode i konteksten af Linux-kernen. Oplysninger om sårbarheden præsenteres i konteksten af Android-platformen, uden at specificere om problemet er specifikt for Android-kernen eller også påvirker den almindelige Linux-kerne.
For at udnytte sårbarheden kræves lokal adgang til systemet af en angriber. I Android skal angriberen først få kontrol over en ikke-privilegeret applikation, der har tilladelser til at tilgå V4L (Video for Linux) subsystemet, for eksempel et kamera-program. Den mest realistiske anvendelse af sårbarheden i Android er at inkludere et exploit i ondsindede applikationer forberedt af angribere for at hæve privilegierne på enheden.
I øjeblikket forbliver sårbarheden udbedret. Selvom Google blev underrettet om problemet i marts, er rettelsen ikke blevet inkluderet i af Android-platformen. I september-patchsættet for sikkerhedsproblemer for Android blev 49 sårbarheder rettet, hvoraf fire har fået tildelt kritiske fareniveauer. To kritiske sårbarheder er blevet rettet i multimediarammen, som tillader kodeudførelse ved behandling af specielt udformede multimediedata. 31 sårbarheder er blevet rettet i komponenter for Qualcomm-chips, hvoraf to sårbarheder har fået tildelt et kritisk niveau, der muliggør fjernangreb. De øvrige problemer er markeret som farlige, således at de tillader kodeudførelse i konteksten af en privilegeret proces gennem manipulation med lokale applikationer.
Kilde: opennet.ru
