Boletín de seguridad de Android de mayo de 2023: lo que necesita saber
No satisfecha con el récord anterior de 9 vulnerabilidades críticas, la plataforma Android agregó 10. Algunos de estos afectan a los dispositivos Nexus y/o Pixel, mientras que otros se aplican a todos los dispositivos que ejecutan Android 4.4.4 a 7.1.Comprueba tu versión de seguridad
Antes de centrarnos en lo que se incluye en el Boletín de seguridad de Android de mayo de 2023, es bueno saber qué versiones de seguridad están instaladas en su dispositivo. Entre los dispositivos Android que uso regularmente, un Nexus 6 de la marca Verizon con Android 7.0 y un OnePlus 3 con Android 7.1.1 todavía tienen el parche de seguridad de marzo (Figura A).
Figura A
Echemos un vistazo a las vulnerabilidades críticas que afectan a la plataforma Android.
vulnerabilidad crítica
Vulnerabilidad de ejecución remota de código en Mediaserver
Lo que me sorprende es que tenemos un problema de clave reservada con Mediaserver, que suele estar plagado de problemas. Una vez más, el muy criticado sistema Mediaserver contiene una vulnerabilidad de ejecución remota de código que podría permitir a un atacante usar un archivo especialmente diseñado para causar daños en la memoria durante el procesamiento de datos y archivos multimedia. Este problema se ha calificado como crítico debido a la posibilidad de ejecución remota de código.
Errores relacionados: A-35219737, A-34618607, A-34897036, A-35039946, A-34097672, A-34970788
Vulnerabilidad de ejecución remota de código en GIFLIB
Se descubrió que GIFLIB, una biblioteca y una utilidad para procesar GIF, contiene una vulnerabilidad de ejecución remota de código que podría permitir que un atacante use un archivo especialmente diseñado para dañar la memoria durante el procesamiento de datos y archivos multimedia. Este problema se ha calificado como crítico debido a la posibilidad de ejecución remota de código.
Error relacionado: A-34697653
Informes de seguridad de lectura obligada
Vulnerabilidad de elevación de privilegios en el controlador de pantalla táctil de MediaTek
Otro vestigio del anuncio del mes pasado fue el controlador de pantalla táctil de MediaTek. Se ha descubierto que el sistema contiene una vulnerabilidad de elevación de privilegios que podría permitir que una aplicación maliciosa local ejecute código arbitrario en el kernel. Este problema se ha calificado como crítico debido a la posibilidad de corrupción del dispositivo (lo que puede requerir volver a actualizar el sistema operativo para reparar el dispositivo).
Error relacionado: A-30202412
Nota: El parche para el error A-30202412 no está disponible públicamente y se puede encontrar en los controladores binarios más recientes para dispositivos Nexus en el sitio de Google Developers.
Vulnerabilidad de elevación de privilegios en Qualcomm Bootloader
Se ha descubierto que el gestor de arranque de Qualcomm contiene una vulnerabilidad de elevación de privilegios que podría permitir que una aplicación maliciosa local ejecute código arbitrario en el contexto del kernel. Este problema se ha calificado como crítico debido a la posibilidad de que se produzcan daños locales permanentes en el dispositivo, lo que puede requerir una actualización del sistema operativo para reparar el dispositivo.
Errores relacionados: A-34514954*, A-32952839
* Este problema solo afecta a los dispositivos Nexus 5X, Nexus 6, Pixel y Pixel XL y Android One.
** Este problema solo afecta a los dispositivos Nexus 5X, Nexus 6P, Pixel y Pixel XL.
Vulnerabilidad de elevación de privilegios en el subsistema Kernel Sound
Se ha descubierto que el subsistema de sonido del kernel contiene una vulnerabilidad de elevación de privilegios que podría permitir que una aplicación local maliciosa ejecute código arbitrario (y posiblemente malicioso) en el contexto del kernel. Este problema se calificó como crítico debido al posible compromiso del dispositivo local (lo que requeriría una actualización del sistema operativo para reparar el dispositivo afectado).
Error relacionado: A-34068036
Este problema solo afecta a los dispositivos Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Pixel, Pixel XL, Pixel C, Android One y Nexus Player.
Vulnerabilidad de elevación de privilegios en el gestor de arranque de Motorola
Se ha descubierto que el cargador de arranque de Motorola contiene una vulnerabilidad de elevación de privilegios que podría permitir que una aplicación maliciosa local ejecute código arbitrario (y potencialmente malicioso) durante el proceso del cargador de arranque. Este problema se calificó como crítico debido al posible compromiso del dispositivo local (lo que requeriría una actualización del sistema operativo para reparar el dispositivo afectado).
Error relacionado: A-33840490
Nota: El parche para el error A-33840490 no está disponible públicamente y se puede encontrar en los últimos controladores binarios para dispositivos Nexus en el sitio de Google Developers.
Vulnerabilidad de elevación de privilegios en el controlador de video NVIDIA
Se ha descubierto que el controlador de video NVIDIA contiene una vulnerabilidad de elevación de privilegios que podría permitir que una aplicación maliciosa local ejecute código arbitrario en el contexto del kernel. Este problema se calificó como crítico debido al posible compromiso del dispositivo local (lo que requeriría una actualización del sistema operativo para reparar el dispositivo afectado).
Error relacionado: A-34113000
Nota: El parche para el error A-34113000 no está disponible públicamente y se puede encontrar en los controladores binarios más recientes para dispositivos Nexus en el sitio de Google Developers.
Este problema solo afecta a los dispositivos Nexus 9.
Vulnerabilidad de elevación de privilegios en Qualcomm Power Driver
Se descubrió que el controlador de energía de Qualcomm contiene una vulnerabilidad de elevación de privilegios que podría permitir que una aplicación local maliciosa ejecute código arbitrario en el contexto del kernel. Este problema se calificó como crítico debido al posible compromiso del dispositivo local (lo que requeriría una actualización del sistema operativo para reparar el dispositivo afectado).
Error relacionado: A-35392981
Nota: Todos los dispositivos de Google que ejecutan Android 7.1.1 o superior con todas las actualizaciones instaladas no se ven afectados por este problema.
Vulnerabilidad de elevación de privilegios en el subsistema de seguimiento del kernel
Se descubrió que el subsistema de seguimiento del kernel (el sistema utilizado para depurar el kernel) contiene una vulnerabilidad de elevación de privilegios que podría permitir que una aplicación local malintencionada ejecute código arbitrario en el contexto del kernel. Este problema se calificó como crítico debido al posible compromiso del dispositivo local (lo que requeriría una actualización del sistema operativo para reparar el dispositivo afectado).
Error relacionado: A-35399704
Este problema solo afecta a los dispositivos Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Pixel, Pixel XL, Pixel C, Android One y Nexus Player.
Vulnerabilidades en los componentes de Qualcomm
Se han descubierto dos vulnerabilidades críticas que afectan a los componentes de Qualcomm. Estos errores se abordan en detalle en el boletín de seguridad de Qualcomm AMSS de octubre de 2023.
Errores relacionados: A-32578446*, A-35436149**
Nota: Los parches para los errores A-31628601 y A-35358527 no están disponibles públicamente y se pueden encontrar en los últimos controladores binarios para dispositivos Nexus en el sitio de Google Developers.
* Este problema solo afecta a los dispositivos Nexus 6P.
** Este problema afecta a los dispositivos Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL.
Mejoras y actualizaciones
Los desarrolladores trabajarán duro para parchear la vulnerabilidad, pero los usuarios finales deben asegurarse de que el parche encuentre el dispositivo. Asegúrese de no solo buscar actualizaciones, sino también de aplicarlas tan pronto como estén disponibles. Para obtener una lista completa de vulnerabilidades, incluidos algunos problemas altos y moderados, consulte el Boletín de seguridad de Android de mayo de 2023.
