Google a déployé ses correctifs de sécurité mensuels pour Android avec des correctifs pour 39 failles, y compris une vulnérabilité zero-day qui, selon lui, est activement exploitée dans la nature dans le cadre d’attaques ciblées limitées.

Suivi comme CVE-2021-1048, le bug zero-day est décrit comme un vulnérabilité d’utilisation après la gratuité dans le noyau qui peut être exploité pour une élévation de privilèges locale. Les problèmes d’utilisation après la libération sont dangereux car ils pourraient permettre à un acteur malveillant d’accéder à la mémoire ou de la référencer après sa libération, entraînant un « écrire-quoi-où » condition qui entraîne l’exécution de code arbitraire pour prendre le contrôle du système d’une victime.

« Il y a des indications que CVE-2021-1048 pourrait faire l’objet d’une exploitation limitée et ciblée », a déclaré la société. c’est noté dans son avis de novembre sans révéler les détails techniques de la vulnérabilité, la nature des intrusions et l’identité des attaquants qui ont pu abuser de la faille.

Le correctif de sécurité a également corrigé deux vulnérabilités critiques d’exécution de code à distance (RCE) – CVE-2021-0918 et CVE-2021-0930 – dans le composant système qui pourraient permettre à des adversaires distants d’exécuter du code malveillant dans le contexte d’un processus privilégié en envoyer une transmission spécialement conçue aux appareils ciblés.

Deux autres failles critiques, CVE-2021-1924 et CVE-2021-1975, affectent les composants à source fermée de Qualcomm, tandis qu’une cinquième vulnérabilité critique dans Android TV (CVE-2021-0889) pourrait permettre à un attaquant à proximité de s’associer silencieusement avec un téléviseur et exécutez du code arbitraire sans aucun privilège ni interaction de l’utilisateur requis.

Avec la dernière série de mises à jour, Google a traité un total de six zero-days dans Android depuis le début de l’année —

• CVE-2020-11261 (score CVSS : 8,4) – Validation d’entrée incorrecte dans le composant Qualcomm Graphics
• CVE-2021-1905 (score CVSS : 8,4) – Utilisation après utilisation gratuite dans le composant Qualcomm Graphics
• CVE-2021-1906 (score CVSS : 6,2) – Détection d’une condition d’erreur sans action dans le composant Qualcomm Graphics
• CVE-2021-28663 (score CVSS : 8,8) – Mali GPU Kernel Driver permet des opérations incorrectes sur la mémoire GPU
• CVE-2021-28664 (score CVSS : 8,8) – Le pilote de noyau GPU Mali élève les pages RO du processeur en écriture