Google виправила уразливості в Android

Google випустила оновлення безпеки для Android Nexus Security Bulletin — January 2016, яке закриває 12 вразливостей в цій мобільної ОС. Одна з виправлених вразливостей CVE-2015-6636 (Remote Code Execution Vulnerability in Mediaserver) відноситься до типу Remote Code Execution (RCE) і дозволяє зловмисникам віддалено виконати код з підвищеними привілеями в Android із використанням шкідливого мультимедійного файлу. Для доставки цього файла може бути використано MMS-повідомлення або фішингових веб-ресурс для браузера. Ще чотири критичні уразливості відносяться до типу Elevation of Privilege (EoP) і дозволяють атакуючим підвищити привілеї свого коду в системі до рівня ядра ОС.



Інші дві уразливості відносяться до типу High, одна з них CVE-2015-6641 в компоненті Bluetooth дозволяє атакуючому підключитися по бездротовому підключенню до пристрою і отримати доступ до особистої інформації користувача. Інша уразливість CVE-2015-6642 типу Information Disclosure в ядрі дозволяє обійти вбудовані механізми безпеки Android і отримати підвищені привілеї в системі.



Оновлення виправляє критичні EoP уразливості в драйверах компаній MediaTek (misc-sd драйвер) і Imagination Technologies, а також в ядрі та додатку Widevine QSEE TrustZone. Уразливості у всіх цих компонентах дозволяють атакуючим отримати в системі найвищі права. Залишилися уразливості відносяться до типу Moderate. Це вказує на те, що зловмисник не зможе нанести за допомогою них істотної шкоди пристрою користувача.

Google також забезпечила Android 6 новою функцією безпеки під назвою Attack Surface Reduction for Nexus Kernels. Вийшло оновлення видаляє з ОС механізм межпроцессного взаємодії під назвою SysV IPC, який, за твердженням Google, використовується у своїх цілях шкідливими програмами і не додає істотних функцій ОС. Його підтримка також несумісна з забезпеченням життєвого циклу інших додатків Android, а також великою кількістю споживаних ресурсів ядра.

image
be secure.

Джерело: Хабрахабр

0 коментарів

Тільки зареєстровані та авторизовані користувачі можуть залишати коментарі.