Google vá 47 lỗ hổng bảo mật Android, bao gồm cả CVE-2024-53104 đang bị khai thác tích cực

Google vá 47 lỗ hổng bảo mật Android, bao gồm cả CVE-2024-53104 đang bị khai thác tích cực

Google đã phát hành các bản vá để giải quyết 47 lỗi bảo mật trong hệ điều hành Android của mình, bao gồm một lỗi mà hãng cho biết đã bị khai thác tích cực trong thực tế.

Lỗ hổng bị khai thác, được định danh là CVE-2024-53104 với điểm CVSS 7.8, là lỗ hổng leo thang đặc quyền trong thành phần nhân (kernel) của Android, cụ thể là trình điều khiển USB Video Class (UVC). Lỗ hổng này có thể dẫn đến việc leo thang đặc quyền vật lý và đã được Google ghi nhận là có thể đang bị khai thác trong các cuộc tấn công có mục tiêu hạn chế.

Google cho biết việc khai thác thành công lỗ hổng có thể dẫn đến leo thang đặc quyền vật lý, đồng thời lưu ý rằng hãng biết rằng lỗ hổng này có thể bị "khai thác có mục tiêu, hạn chế".

Mặc dù không có thông tin chi tiết kỹ thuật nào khác được đưa ra, nhà phát triển hạt nhân Linux Greg Kroah-Hartman đã tiết lộ vào đầu tháng 12 năm 2024 rằng lỗ hổng này bắt nguồn từ hạt nhân Linux và đã được đưa vào phiên bản 2.6.26, được phát hành vào giữa năm 2008.

Cụ thể, nó liên quan đến điều kiện ghi ngoài giới hạn có thể phát sinh do phân tích cú pháp các khung loại UVC_VS_UNDEFINED trong một hàm có tên "uvc_parse_format()" trong chương trình "uvc_driver.c".

Điều này cũng có nghĩa là lỗ hổng có thể bị lợi dụng để gây hỏng bộ nhớ, sập chương trình hoặc thực thi mã tùy ý.

Hiện tại vẫn chưa rõ ai đứng sau việc khai thác lỗ hổng này, mặc dù thực tế là nó có thể tạo điều kiện cho việc leo thang đặc quyền "vật lý" cho thấy khả năng sử dụng sai mục đích của các công cụ trích xuất dữ liệu pháp y, theo GrapheneOS.

Ngoài ra, bản cập nhật còn khắc phục một lỗ hổng nghiêm trọng khác trong thành phần WLAN của Qualcomm, được định danh là CVE-2024-45569 với điểm CVSS 9.8, có thể dẫn đến hỏng bộ nhớ.

Để đảm bảo an toàn, người dùng Android nên kiểm tra và cài đặt các bản cập nhật bảo mật mới nhất từ nhà sản xuất thiết bị của mình.

Hương – Theo TheHackerNews