Bản cập nhật bảo mật tháng 10 của Android sửa lỗ hổng zero-day bị khai thác trong các cuộc tấn công

Hai lỗ hổng bị khai thác là CVE-2023-4863 và CVE-2023-4211, mà Google thấy có dấu hiệu cho thấy chúng có thể đang bị khai thác có chủ đích và hạn chế.

CVE-2023-4863 là lỗ hổng tràn bộ đệm trong thư viện nguồn mở libwebp phổ biến, ảnh hưởng đến nhiều sản phẩm phần mềm, bao gồm Chrome, Firefox, iOS, Microsoft Teams, v.v.

Lỗ hổng cụ thể ban đầu được gán nhầm cho các CVE riêng biệt cho Apple iOS và Google Chrome, mặc dù nó thực sự nằm trong thư viện cơ bản. Sự nỗ lực để khắc phục sự cố tiếp theo bằng cách gán CVE mới (CVE-2023-5129) đã bị thất bại.

CVE-2023-4211 là một lỗ hổng được khai thác chủ động, ảnh hưởng đến nhiều phiên bản trình điều khiển GPU Arm Mali được sử dụng trong nhiều mẫu thiết bị Android.

Lỗ hổng này là sự cố bộ nhớ use-after-free có thể cho phép kẻ tấn công truy cập cục bộ hoặc thao túng dữ liệu nhạy cảm.

Bản cập nhật Android tháng 10 năm 2023 bao gồm:

• 13 bản sửa lỗi trong Android Framework
• 12 bản sửa lỗi trong Thành phần hệ thống
• 02 bản cập nhật trên Google Play
• 05 bản sửa lỗi trong thành phần Arm
• 03 bản sửa lỗi liên quan đến chip MediaTek
• 01 bản sửa lỗi liên quan đến chip Unisoc
• 18 bản sửa lỗi trên các thành phần Qualcomm (15 bản dành cho nguồn đóng)

Trong số 54 bản sửa lỗi liên quan đến Android 11 đến 13, có 5 bản được đánh giá là nghiêm trọng và 2 bản liên quan đến vấn đề thực thi mã từ xa.

Bản cập nhật này theo hệ thống tiêu chuẩn phát hành hai cấp bản vá: cấp độ đầu tiên (2023-10-01) tập trung vào các thành phần cốt lõi của Android (Framework + System), trong khi cấp độ thứ hai (2023-10-06) xử lý các thành phần hạt nhân và nguồn đóng .

Cách tiếp cận này cho phép các nhà sản xuất thiết bị áp dụng có chọn lọc các bản cập nhật liên quan đến mẫu phần cứng của họ đã giúp nó khả dụng nhanh hơn.

Người nhận cấp bản vá đầu tiên sẽ nhận được các bản cập nhật lõi Android của tháng hiện tại cũng như các bản cập nhật từ cả hai cấp của tháng trước, trong trường hợp này là tháng 9 năm 2023.

Những người nhìn thấy cấp độ đường dẫn thứ hai trên màn hình cập nhật của họ sẽ nhận được tất cả các bản cập nhật được đề cập trong bản tin tháng này.

Các phiên bản Android 10 trở lên không còn được hỗ trợ, tuy nhiên, tùy thuộc vào phạm vi của một số lỗ hổng được vá gần đây cũng có thể bị ảnh hưởng.

Điều đó có nghĩa là người dùng hệ thống Android cũ hơn nên nâng cấp lên kiểu máy mới hơn hoặc cài đặt thiết bị của họ bằng bản phân phối Android của bên thứ ba cung cấp các bản cập nhật bảo mật cho kiểu máy của họ.

Nguồn: bleepingcomputer.com