Noi vulnerabilități în dispozitivele Android și Google Pixel

Șapte vulnerabilități critice care afectează dispozitivele Android și Google Pixel au fost descoperite recent în timpul unei analize recente a aplicațiilor mobile.

Vulnerabilitățile care afectează dispozitivele Android și Google Pixel sunt:

• CVE-2024-0017;
• CVE-2023-21383;
• CVE-2024-34719;
• CVE-2023-20963;
• CVE-2021-0600;
• CVE-2023-21292.

Specialiștii în securitate de la OverSecured au observat că toate aceste vulnerabilități au primit un grad de severitate high, iar dintre acestea, doar vulnerabilității Default WebChromeClient Configuration nu i-a fost atribuit un ID CVE.

Prezentarea generală a vulnerabilităților:

• CVE-2024-0017 – Acces la geolocalizarea utilizatorului prin intermediul camerei: Permite aplicațiilor neprivilegiate să acceseze datele de geolocație ale utilizatorului prin intermediul aplicației Camera;
• Eroare de configurare implicită WebChromeClient: Permite obținerea de fișiere arbitrare datorită implementării necorespunzătoare a funcționalității de selectare a fișierelor în WebView;
• CVE-2023-21383 – VPN Bypass List Manipulation: Permite să modifice listele de ocolire a aplicațiilor VPN, inclusiv aplicații de sistem precum Google Chrome;
• CVE-2024-34719 – Verificarea necorespunzătoare a permisiunilor Bluetooth: Permite interacțiunea cu funcția Bluetooth folosind privilegii de sistem, ocolind măsurile de securitate;
• CVE-2023-20963 – WorkSource Parcel/Unparcel Logic Mismatch: Permite lansarea de componente arbitrare cu privilegii de sistem, exploatate de aplicația Pinduoduo.
• CVE-2021-0600 – Injectare de cod HTML în Device Admin Request Screen: Permite injectarea de elemente HTML în Device Admin request screen;
• CVE-2023-21292 – Ocolirea verificării de securitate ContentProvider.openFile(): Permite ocolirea verificărilor interne de securitate în metoda ContentProvider.openFile().

Aceste vulnerabilități afectează o gamă largă de dispozitive Android, unele afectând în special dispozitivele Google Pixel.

Vulnerabilitățile ar putea permite persoanelor rău intenționate să-și ridice privilegiile, să acceseze date sensibile și să manipuleze setările sistemului.

Google a remediat majoritatea acestor vulnerabilități prin actualizări de securitate.

Cu toate acestea, timpul necesar pentru remedierea anumitor vulnerabilități, cum ar fi WorkSource logic mismatch, evidențiază necesitatea unor timpi de răspuns mai rapizi în abordarea vulnerabilităților de securitate critice.

Utilizatorii sunt sfătuiți să își mențină dispozitivele actualizate cu cele mai recente actualizări de securitate pentru a reduce riscurile potențiale.

Sursă: https://cybersecuritynews.com/new-flaws-in-android-google-pixel-devices/