Firma Trend Micro informacja o podatności (nie przypisano CVE) w sterowniku , który pozwala nieuprzywilejowanemu użytkownikowi lokalnemu na wykonanie swojego kodu w kontekście jądra Linuksa. Informacje o luce podano w kontekście platformy Android, bez szczegółowego określenia, czy problem ten dotyczy wyłącznie jądra Androida, czy też występuje również w zwykłym jądrze Linuksa.
Aby wykorzystać tę lukę, osoba atakująca wymaga lokalnego dostępu do systemu. W systemie Android, aby zaatakować, musisz najpierw przejąć kontrolę nad nieuprzywilejowaną aplikacją, która ma uprawnienia dostępu do podsystemu V4L (Video for Linux), na przykład programem kamery. Najbardziej realistycznym wykorzystaniem luki w systemie Android jest umieszczenie exploita w złośliwych aplikacjach przygotowanych przez osoby atakujące w celu eskalacji uprawnień na urządzeniu.
Luka w zabezpieczeniach pozostaje obecnie nienaprawiona. Mimo że Google został powiadomiony o problemie w marcu, poprawka nie została uwzględniona w pakiecie Platformy z Androidem. Wrześniowa łatka bezpieczeństwa Androida naprawia 49 luk, z czego cztery uznano za krytyczne. Naprawiono dwie krytyczne luki w środowisku multimediów, które umożliwiają wykonanie kodu podczas przetwarzania specjalnie zaprojektowanych danych multimedialnych. W komponentach układów Qualcomm naprawiono 31 luk, z czego dwóm podatnościom przypisano poziom krytyczny, pozwalający na zdalny atak. Pozostałe problemy oznaczono jako niebezpieczne, tj. pozwalają, poprzez manipulację lokalnymi aplikacjami, na wykonanie kodu w kontekście uprzywilejowanego procesu.
Źródło: opennet.ru