Google исправила критическую уязвимость в Android Mediaserver

[душман]

На этой неделе Google выпустила плановые ежемесячные обновления безопасности для Android, исправляющие 17 критических уязвимостей. Традиционно компания разделила патчи на два уровня. Первая часть обновлений (Partial security patch level) исправляет уязвимости, общие для всех Android-устройств, а вторая (Complete security patch level) предназначена для уязвимостей в аппаратном обеспечении и компонентах ядра отдельных устройств.

Наиболее серьезная уязвимость затрагивает Mediaserver – компонент Android для обработки изображений и видео. С ее помощью злоумышленник может удаленно выполнить код на устройстве, используя электронную почту, браузер или MMS. Другими словами, атакующий может обманом заставить жертву загрузить на смартфон или планшет особым образом сконфигурированный медиафайл и выполнить произвольный код.

Для успешной эксплуатации уязвимости даже нет необходимости открывать вредоносный файл – при получении медиафайла сразу же активируется Mediaserver для его обработки. Проблема была обнаружена в начале текущего года и затрагивает версии Android, начиная от 4.4.4 KitKat и заканчивая 7.1.2 Nougat.

Google также исправила четыре уязвимости в компонентах Qualcomm, позволяющие повысить привилегии до суперпользователя. CVE-2016-10275 и CVE-2016-10276 затрагивают загрузчик Qualcomm. С их помощью локальное вредоносное приложение может выполнить произвольный код в контексте ядра. Уязвимость CVE-2017-0604 в драйвере также позволяет локальному приложению выполнить код в контексте ядра.