Компания Google опубликовала перечень уязвимостей, пропатченных ею за последний месяц. Десять из 46 новых проблем оценены как критические, остальные — как высоко опасные.
Наибольшую угрозу, по мнению разработчика, составляет критическая уязвимость в компоненте Media Framework (CVE-2020-0458). Согласно бюллетеню, она позволяет с помощью особого файла удаленно выполнить произвольный код в контексте привилегированного процесса. Уязвимости подвержены Android версий 8.0, 8.1, 9 и 10, исправления исходных кодов уже загружены в репозиторий AOSP.
В библиотеках мультимедиа обнаружена еще одна, чуть менее опасная проблема — возможность раскрытия конфиденциальной информации (CVE-2020-0470). Она актуальна для ОС версий 10 и 11.
Во фреймворке Android выявлено восемь уязвимостей высокой степени опасности. Три из них классифицируются как «повышение привилегий» (EoP), четыре — как «раскрытие информации» (ID) и одна — как «отказ в обслуживании» (DoS). Наличие последней подтверждено только для Android 11.
В системных компонентах Google пропатчила 3 опасных уязвимости; все они позволяют удаленному злоумышленнику добраться до закрытых данных.
Кроме брешей, одинаковых для всех Android-устройств (уровень патчинга по состоянию на 1 декабря), разработчик закрыл уязвимости, которые его партнеры – производители мобильных устройств могут пропатчить позднее (уровень безопасности от 5 декабря). Три таких проблемы объявились в компонентах ядра Android; все они относятся к классу EoP и оценены как высоко опасные.
В компонентах сторонней разработки (Broadcom, MediaTek, Qualcomm) совокупно устранено три десятка уязвимостей, в том числе девять критических в дополнительных модулях Qualcomm.
На Pixel обновления безопасности будут раздаваться OTA — «по воздуху». Кроме заплат, общих для Android, в набор будут включены свыше 80 патчей для уязвимостей, характерных только для устройств Google. В основном это умеренно опасные баги EoP и ID.
