07/07/2023Swati Khandelwal Lỗ hổng Zero-Day
Google đã phát hành bản cập nhật bảo mật hàng tháng cho hệ điều hành Android, giải quyết 46 lỗ hổng phần mềm mới. Trong số này, ba lỗ hổng đã được xác định là bị khai thác tích cực trong các cuộc tấn công có chủ đích.
Một trong những lỗ hổng được theo dõi là CVE-2023-26083 là lỗ hổng rò rỉ bộ nhớ ảnh hưởng đến trình điều khiển gpu Arm Mali cho chip Bifrost, Avalon và Valhall. Lỗ hổng cụ thể này đã bị khai thác trong một cuộc tấn công trước đó cho phép phần mềm gián điệp xâm nhập vào các thiết bị Samsung vào tháng 12 năm 2022.
Lỗ hổng này được coi là đủ nghiêm trọng để khiến Cơ quan An ninh mạng và Cơ sở hạ tầng (CISA) ban hành lệnh vá cho các cơ quan liên bang vào tháng 4 năm 2023.
Một lỗ hổng nghiêm trọng khác, được xác định là CVE-2021-29256, là một sự cố có mức độ nghiêm trọng cao ảnh hưởng đến các phiên bản cụ thể của trình điều khiển nhân GPU Bifrost và Midgard Arm Mali. Lỗ hổng này cho phép người dùng không có đặc quyền truy cập trái phép vào dữ liệu nhạy cảm và leo thang đặc quyền lên cấp cơ sở.
Lỗ hổng bị khai thác thứ ba, CVE-2023-2136, là một lỗi nghiêm trọng nghiêm trọng được phát hiện trong Skia, thư viện đồ họa 2D đa nền tảng mã nguồn mở của Google. Ban đầu, nó được tiết lộ là một lỗ hổng zero-day trong trình duyệt Chrome và cho phép kẻ tấn công từ xa đã tiếp quản quy trình kết xuất thực hiện thoát hộp cát và triển khai mã từ xa trên thiết bị Android.
Bên cạnh những điều này, bản tin bảo mật Android tháng 7 của Google nêu bật một lỗ hổng nghiêm trọng khác, CVE-2023-21250, ảnh hưởng đến thành phần Hệ thống Android. Sự cố này có thể gây ra việc thực thi mã từ xa mà không có sự tương tác của người dùng hoặc các đặc quyền thực thi bổ sung, khiến việc này trở nên đặc biệt bấp bênh.
Các bản cập nhật bảo mật này được triển khai ở hai cấp bản vá. Cấp bản vá ban đầu, được cung cấp vào ngày 1 tháng 7, tập trung vào các thành phần cốt lõi của Android, giải quyết 22 lỗi bảo mật trong các thành phần Khung và Hệ thống.
HỘI THẢO TRỰC TUYẾN SẮP TỚI
🔐 Quản lý quyền truy cập đặc quyền: Tìm hiểu cách chinh phục những thách thức chính
Khám phá các cách tiếp cận khác nhau để chinh phục các thử thách Quản lý tài khoản đặc quyền (PAM) và tăng cấp cho chiến lược bảo mật truy cập đặc quyền của bạn.
Đặt chỗ của bạn
Cấp bản vá thứ hai, được phát hành vào ngày 5 tháng 7, nhắm vào các thành phần hạt nhân và nguồn đóng, xử lý 20 lỗ hổng trong các thành phần Kernel, Arm, Imagination Technologies, MediaTek và Qualcomm.
Điều quan trọng cần lưu ý là tác động của các lỗ hổng được giải quyết có thể vượt ra ngoài các phiên bản Android được hỗ trợ (11, 12 và 13), có khả năng ảnh hưởng đến các phiên bản HĐH cũ hơn không còn nhận được hỗ trợ chính thức.
Google đã tiếp tục tung ra các bản vá bảo mật cụ thể cho các thiết bị Pixel của mình, xử lý 14 lỗ hổng trong các thành phần Kernel, Pixel và Qualcomm. Hai trong số những điểm yếu nghiêm trọng này có thể dẫn đến nâng cao đặc quyền và tấn công từ chối dịch vụ.
