Google actualizó su boletín de seguridad de Android de mayo de 2021 el miércoles para revelar que cuatro de las vulnerabilidades de seguridad reparadas por Arm y Qualcomm a principios de este mes podrían explotarse como días cero en la naturaleza.
«Hay indicios de que CVE-2021-1905, CVE-2021-1906, CVE-2021-28663 y CVE-2021-28664 pueden tener un uso limitado», dijo el gigante de las búsquedas en un aviso actualizado.
Cuatro errores afectan a Qualcomm Graphics y Arm Mali GPU Driver:
- CVE-2021-1905 (Puntuación CVSS: 8.4) – Error de no uso en el componente de gráficos de Qualcomm causado por el manejo incorrecto de la asignación de memoria de múltiples procesos simultáneamente.
- CVE-2021-1906 (Puntuación CVSS: 6.2): un error relacionado con el procesamiento inadecuado de la cancelación del registro de direcciones que podría provocar una nueva falla en la asignación de direcciones de GPU.
- CVE-2021-28663 (Puntuación CVSS: NA): una vulnerabilidad en el núcleo de GPU Arm Mali que podría permitir que un usuario sin privilegios realice operaciones de memoria de GPU incorrectas, lo que lleva a un escenario de uso inútil que podría explotarse para obtener privilegios de root o divulgar información. .
- CVE-2021-28664 (Puntuación CVSS: NA): un usuario sin privilegios puede obtener acceso de lectura y escritura a la memoria, lo que permite la escalada de permisos o el estado de denegación de servicio (DoS) debido a la corrupción de la memoria.
La explotación exitosa de las vulnerabilidades podría dar al enemigo libre acceso al dispositivo de destino y tomar el control. Sin embargo, no está claro cómo se llevaron a cabo los ataques en sí, las víctimas que pueden haber sido el objetivo o los actores que pueden haberlos explotado.
El desarrollo es uno de los pocos casos en los que se han visto errores de día cero en Android en ciberofensivas reales.
A principios de marzo, Google reveló que una vulnerabilidad que afectaba a los dispositivos Android que usaban conjuntos de chips Qualcomm (CVE-2020-11261) había sido armada por enemigos para lanzar ataques dirigidos. Otra falla es CVE-2019-2215, una vulnerabilidad en Binder, el mecanismo de comunicación entre procesos de Android, que supuestamente fue explotada por NSO Group y el actor de amenazas SideWinder para comprometer el dispositivo de la víctima y recopilar información del usuario.
