A TrendMicro cég sebezhetőségről (CVE nem hozzárendelve) az illesztőprogramban , amely lehetővé teszi, hogy egy nem jogosult helyi felhasználó a Linux kernel kontextusában végrehajtsa a saját kódját. A sebezhetőségre vonatkozó adatok az Android platform kontextusában találhatók, anélkül, hogy részleteznék, hogy ez a probléma specifikus-e az Android kernel számára vagy megjelenik a normál Linux kernelben is.
A sebezhetőség kihasználásához a támadónak helyi hozzáférése kell a rendszerhez. Androidon a támadás előtt kontrolálni kell egy nem jogosult alkalmazást, amely hozzáférési jogokkal rendelkezik a V4L (Video for Linux) alrendszerhez, például egy kamerakezelő programot. A sebezhetőség legreálisabb alkalmazása Androidon a támadók által előkészített rosszindulatú alkalmazásokba integrált exploit használata a készüléken lévő jogosultságok növelésére.
Jelenleg a sebezhetőség még nem javított. Habár a Google márciusban értesítve lett a problémáról, a javítást nem vonták be a Android platformon. A szeptemberi javításkészletben, amely a biztonsági problémákat célozza, 49 sebezhetőséget javítottak, amelyből négyet kritikus veszélyességi szinttel jelöltek. Két kritikus sebezhetőséget a multimédiás keretrendszerben szüntettek meg, amelyek kód végrehajtását teszik lehetővé speciálisan kidolgozott multimédiás adatok feldolgozása során. 31 sebezhetőséget javítottak a Qualcomm chipjeihez tartozó komponensekben, amelyből kettő kritikus szintű, távoli támadást tesz lehetővé. A többi problémát veszélyesnek jelölték, azaz a helyi alkalmazások manipulálásával lehetővé teszik kód végrehajtását privilegizált folyamat kontextusában.
Forrás: opennet.ru
