Google cảnh báo lỗ hổng zero-day mới trong Android

[WhiteHat Team]

Google vừa tung ra các bản vá an ninh hằng tháng cho Android để vá 39 lỗi, bao gồm cả lỗ hổng zero-day đang bị khai thác trong các cuộc tấn công có chủ đích.

Lỗ hổng có mã định danh là CVE-2021-1048, được mô tả là lỗi use-after-free trong kernel có thể bị khai thác để leo thang đặc quyền.

Use-after-free rất nguy hiểm vì nó có thể cho phép hacker truy cập hoặc tham chiếu bộ nhớ sau khi bộ nhớ đã được giải phóng, dẫn đến điều kiện "write-what-where" thực thi mã tùy ý để giành quyền kiểm soát hệ thống của nạn nhân.

​

"Có dấu hiệu cho thấy CVE-2021-1048 có thể bị khai thác có mục tiêu, có giới hạn", hãng đưa ra trong khuyến cáo an ninh tháng 11 mà không tiết lộ chi tiết kỹ thuật về lỗ hổng, bản chất của các cuộc xâm nhập và danh tính của những hacker lạm dụng lỗ hổng.

Cũng được khắc phục trong bản vá an ninh là hai lỗ hổng thực thi mã từ xa (RCE) CVE-2021-0918 và CVE-2021-0930 - trong thành phần hệ thống có thể cho phép kẻ tấn công thực thi code độc hại từ xa.

Hai lỗ hổng nghiêm trọng khác là CVE-2021-1924 và CVE-2021-1975, ảnh hưởng đến các thành phần nguồn đóng của Qualcomm, trong khi lỗ hổng nghiêm trọng thứ năm trong Android TV (CVE-2021-0889) có thể cho phép hacker ở gần âm thầm kết nối với TV và thực thi mã tùy ý mà không cần đặc quyền hoặc tương tác của người dùng.

Như vậy, ngoài lỗ hổng zero-day trên, từ đầu năm nay Google cũng đã giải quyết 5 lỗ hổng zero-day khác:

• CVE-2020-11261 (Điểm CVSS: 8,4) – Lỗ hổng xác thực đầu vào không thích hợp trong thành phần đồ họa Qualcomm
• CVE-2021-1905 (Điểm CVSS: 8,4) – Lỗ hổng use-after-free trong thành phần đồ họa Qualcomm
• CVE-2021-1906 (Điểm CVSS: 6.2) – Phát hiện tình trạng lỗi mà không cần hành động trong thành phần Đồ họa Qualcomm
• CVE-2021-28663 (Điểm CVSS: 8,8) – Lỗ hổng Mali GPU Kernel Driver cho phép các hoạt động không chính xác trên bộ nhớ GPU
• CVE-2021-28664 (Điểm CVSS: 8,8) – Lỗ hổng Mali GPU Kernel Driver nâng các trang CPU RO thành bản ghi.

Theo thehackernews​