W Androidzie bez zmian – co miesiąc paczka krytycznych podatności…

Zobaczcie na grudniową paczkę łat w Androidzie. Mamy tutaj 5 podatności RCE (remote code execution) oznaczonych jako Critical. W tym kolejne podatności w submodule Media framework. Najczęściej oznacza to możliwość wykonania kodu w systemie operacyjnym poprzez otworzenie odpowiednio spreparowanego pliku multimedialnego.

Martwi też ta podatność w obsłudze Bluetooth. Z jednej strony mamy informację: „User interaction is not needed for exploitation.”, z drugiej –  Critical RCE (czyli wykonanie kodu w OS). Mieszanka naprawdę niezła. Ta podatność występowała w Androidach 7.x 8.x 9.x.

Na koniec warto zwrócić uwagę na dodatkowe, bliżej niesprecyzowane błędy klasy Critical, w komponentach od Qualcomma.

Jak widać – bez zmian w obszarze ilości krytycznych podatności w Androidzie; podejście producentów i użytkowników do łatania telefonów też raczej bez zmian. U atakujących również bez rewolucji, zacierają ręce.

–ms