Die Teilnehmer des Google-Projekt Zero Day Initiative (DENKEN) veröffentlicht Details einer 0-Day-Schwachstelle, die in Android lokale Privilegieneskalation ermöglichen könnte,.
EINN ach die Beschreibung in dem ZDI Blog, eine gefährliche Schwachstelle ist in der v4l2 Treiber (Video4Linux 2), das bietet die Möglichkeit, Audio- und Video-Capture für eine Linux-Familie von OS. Wie sich herausstellte, Diese API „überprüft nicht, seine Existenz, bis Operationen an dem Objekt durchgeführt werden.“Als Ergebnis, wenn Sie physischen Zugriff auf das Android-Gerät, kann ein Angreifer Privilegien im Rahmen des Kernels erhöhen und die Kontrolle über das System übernehmen.
„Um diese Sicherheitsanfälligkeit auszunutzen, Der Angreifer muss auf dem Zielsystem niedrigen Privileg Code auszuführen“der Lage sein,, - schreiben die Forscher.
Details des Codes und wie der Angriff durchgeführt wird, wird nicht berichtet. Der Schweregrad der Sicherheitsanfälligkeit wird bewertet bei 7.8 auf einer Skala CVSS-.
Ein Bericht über sie wurde vor fast sechs Monate bei Google eingereicht, Mitte März. Der Entwickler bestätigte die Verwundbarkeit und versprach, um ein Pflaster herzustellen, Obwohl der Zeitpunkt ihrer Freisetzung nicht zugeordnet ist. Da der Patch erschienen nie, die Forscher beschlossen, einen gefährlichen Fund zu enthüllen.
„Die Art der Verwundbarkeit Gegeben, die einzige Rettung ist bisher Interaktion mit dem Dienst zu begrenzen. Sie können lassen Sie es nur für Clients und Server mit ihm im Zusammenhang mit legitimen Verfahren. Diese Einschränkung kann in einer Vielzahl von Möglichkeiten eingeführt werden, insbesondere unter Verwendung von Firewall-Regeln oder weiße Liste“, – sagen Forscher ZDI.
Diese Sicherheitslücke wurde nach der Veröffentlichung des nächsten Satzes von Patches für Android veröffentlicht. Unglücklicherweise, es gab keinen wieder in es notwendig Patch.
Am Dienstag, September 3, Google angekündigt die Entfernung von 15 gefährliche Fehler in seinem Betriebssystem für mobile Geräte. Unter anderen, zwei kritische Sicherheitslücken von Remotecodeausführung in den Multimedia-Bibliotheken, die in den Medien Rahmen wurden geflickt. Laut dem Bulletin des Entwicklers, der Betrieb von CVE-2019-2176 und CVE-2019-2108 ermöglicht eine speziell erstellte Datei mit beliebigem Code im Kontext eines privilegierten Prozesses auszuführen.
lesen Sie auch: Mysteriös und wütend SandboxEscaper in zwei Tagen geschrieben, einige mehr 0-Day-Exploits für Windows in Open Access
Die Komponenten des Framework fünf Hochrisikolücken geschlossen; vier von ihnen privilege escalation bedrohen, ein – Offenlegung vertraulicher Informationen. Fünf ähnliche Fehler wurden im System angekündigt; Der sechste (CVE-2019-2177) erlaubt fern jeden Code in dem System auszuführen,.
Die neuen Google-Newsletter informieren auch Nutzer über die Eliminierung von zwei Sicherheitslücken in den Komponenten von NVIDIA Produktion und etwa drei Dutzende in Qualcomm Produkten. In Bezug auf die letztere, der gefährlichste für Android sind CVE-2019-10533 und CVE-2019-2258 dass enthalten waren in Closed-Source-Komponenten.
„LGE hat eine Reihe von Patches im Rahmen des monatlichen Android Sicherheits-Update-Programms veröffentlicht. Von den festen Anfälligkeiten, das schwerwiegendste ist ein kritischer Fehler im Media Framework“, – sagte LG Unternehmen.
September Updates für Android-Geräte zur gleichen Zeit angekündigt von Samsung. Ein neues Patch Set umfasst die genannten Schwachstellen im Google Newsletter, sowie ein Dutzend Bugs speziell für Samsung-Produkte.
