Företaget ARM har avslöjat information om tre sÄrbarheter i drivrutiner för sina GPU:er som anvÀnds i Android, ChromeOS och Linux-distributioner. SÄrbarheterna tillÄter en icke-privilegierad lokal anvÀndare att köra sin kod med kÀrnrÀttigheter. I oktober mÄnads sÀkerhetsrapport för Android-plattformen nÀmns att en av sÄrbarheterna (CVE-2023-4211) redan har utnyttjats av angripare i aktiva exploateringar för att utföra riktade attacker (0-day) innan en lösning publicerades. Till exempel kan sÄrbarheten anvÀndas i skadliga applikationer som sprids via tvivelaktiga kÀllor för att fÄ full tillgÄng till systemet och installera komponenter som spionerar pÄ anvÀndaren.
Identifierade sÄrbarheter:
- CVE-2023-4211 â oegentlig operation med GPU-minnet kan leda till Ă„tkomst till redan frigjort systemminne, som kan anvĂ€ndas i utförandet av andra uppgifter i kĂ€rnan. SĂ„rbarheten har Ă„tgĂ€rdats i drivrutinsuppdateringen r43p0 för Mali GPU:er baserade pĂ„ mikroarkitekturerna Bifrost och Valhall samt den femte generationens ARM GPU. Ingen drivrutinsuppdatering har slĂ€ppts för Midgard-familjens GPU:er.
En lösning erbjuds ocksÄ i septemberuppdateringarna av Chrome OS-versionerna 114/115/116 och oktoberuppdateringen av Android. De sÄrbara GPU-modellerna anvÀnds i smartphones som Google Pixel 7, Samsung S20 och S21, Motorola Edge 40, OnePlus Nord 2, Asus ROG Phone 6, Redmi Note 11 och 12, Honor 70 Pro, RealMe GT, Xiaomi 12 Pro, Oppo Find X5 Pro, Reno 8 Pro och vissa enheter med Mediatek-chips.
- CVE-2023-33200 â oegentlig operation med GPU:er kan leda till en racing-tillstĂ„nd och Ă„tkomst till redan frigjort minne av drivrutinen. SĂ„rbarheten har Ă„tgĂ€rdats i drivrutinsuppdateringarna r44p1 och r45p0 för Mali GPU:er baserade pĂ„ mikroarkitekturerna Bifrost och Valhall samt den femte generationens ARM GPU.
- CVE-2023-34970 â oegentlig operation med GPU:er kan leda till en buffertöverskridning och Ă„tkomst till minne utanför den allokerade bufferten. SĂ„rbarheten har Ă„tgĂ€rdats i drivrutinsuppdateringarna r44p1 och r45p0 för Mali GPU:er baserade pĂ„ Valhall-mikroarkitekturen och den femte generationens ARM GPU.
I oktober mÄnads rapport om sÄrbarheter i Android nÀmns totalt 53 sÄrbarheter, varav 5 har klassificerats som kritiska och resterande som hög risk. Kritiska problem möjliggör fjÀrrattacker för att köra kod i systemet. Problem som mÀrkts som farliga tillÄter utförande av kod inom kontexten av privilegierade processer genom manipulering av lokala applikationer. Tre kritiska problem (CVE-2023-24855, CVE-2023-28540 och CVE-2023-33028) har upptÀckts i proprietÀra komponenter frÄn Qualcomm, och tvÄ (CVE-2023-40129, CVE-2023-4863) i systemet (i libwebp och Bluetooth-stacken). Totalt har 5 sÄrbarheter identifierats i ARM-komponenter, 3 i MediaTek, 1 i Unisoc och 17 i Qualcomm (enligt Qualcomm-rapporten). TvÄ sÄrbarheter (en i ARM GPU och en i libwebp) har flaggats som redan utnyttjade av angripare i sina exploiter (0-day).
KĂ€lla: opennet.ru
