Второй исправленный в этом месяце нулевой день(CVE-2024-43093) – это уязвимость повышения привилегий в Android Framework, которая позволяет локальным злоумышленникам получить доступ к конфиденциальным каталогам из-за некорректной нормализации юникода, используя обход фильтра путей к файлам без дополнительных привилегий выполнения или взаимодействия с пользователем.
Обновления безопасности для Android в этом месяце также устраняют 11 уязвимостей, которые могут позволить злоумышленникам получить удаленное выполнение кода на уязвимых устройствах.
Google выпустила два набора исправлений безопасности – 2025-03-01 и 2025-03-01. В последний входят все исправления из первой партии, а также исправления для закрытых сторонних разработчиков и компонентов ядра, которые могут быть применимы не ко всем устройствам Android.
Устройства Google Pixel получают обновления немедленно, в то время как другим производителям часто требуется больше времени на тестирование и доработку патчей безопасности для своих аппаратных конфигураций.
Производители также могут отдавать предпочтение более раннему набору патчей для более быстрого получения обновлений, что не обязательно свидетельствует о повышенном риске эксплуатации.
В ноябре компания исправила еще один «нулевой день» для Android (CVE-2024-43047), который был впервые отмечен как эксплуатируемый в Google Project Zero в октябре 2024 года и использовался сербским правительством в шпионских атаках NoviSpy, направленных на Android-устройства активистов, журналистов и протестующих.
Комментарии (0)