Google, bugün Aralık 2023 Android güvenlik güncellemelerinin, kritik bir şiddet sıfır tıkalı uzaktan kumanda yürütme (RCE) hatası da dahil olmak üzere 85 güvenlik açıklarıyla mücadele ettiğini duyurdu.
CVE-2023-40088 olarak izlenen Sıfır tıkayan RCE hatası, Android'in sistem bileşeninde bulundu ve sömürülmesi için ek ayrıcalıklar gerektirmiyor.
Şirket, saldırganların vahşi doğada bu güvenlik kusurunu hedeflediklerini henüz açıklamamış olsa da, tehdit aktörleri kullanıcı etkileşimi olmadan keyfi kod yürütme kazanmak için onu kullanabilirler.
Danışma, "Bu sorunların en şiddetli, sistem bileşeninde, ek yürütme ayrıcalıklarına gerek kalmadan uzak (proksimal/bitişik) kod yürütülmesine yol açabilecek kritik bir güvenlik açığıdır. Kullanıcı etkileşimi sömürü için gerekli değildir."
Diyerek şöyle devam etti: "Şiddet değerlendirmesi, platformun ve hizmet hafifletmelerinin geliştirme amacıyla veya başarıyla atlandığı varsayılarak, etkilenen bir cihaz üzerindeki güvenlik açığından yararlanacağı etkisine dayanmaktadır."
Bu ay ek bir 84 güvenlik açığı yamalı, bunlardan üçü (CVE-2023-40077, CVE-2023-40076 ve CVE-2023-40076 ve CVE-2023-45866) Kritik Şiddet ayrıcalığı artış ve bilgi açıklama hataları Android çerçeve ve sistem bileşenlerinde.
Qualcomm'un kapalı kaynaklı bileşenlerinde dördüncü kritik bir güvenlik açığı (CVE-2022-40507) ele alınmıştır.
İki ay önce, Ekim ayında Google, sıfır gün olarak sömürülen iki güvenlik kusurunu (CVE-2023-4863 ve CVE-2023-4211) yamaladı, libwebp açık kaynak kütüphanesinde ve ikincisi çoklu kol Mali'yi etkiledi. GPU sürücü sürümleri çok çeşitli Android aygıt modellerinde kullanılır.
Eylül Android güvenlik güncellemeleri, Android çerçeve bileşeninde, saldırganların ek yürütme ayrıcalıkları veya kullanıcı etkileşimi gerektirmeden ayrıcalıkları artırmasına izin veren başka bir aktif olarak sömürülen sıfır gün (CVE-2023-35674) ele aldı.
Her zamanki gibi Google, 2023-12-01 ve 2023-12-05 güvenlik seviyeleri olarak tanımlanan Aralık Güvenlik Güncellemeleri ayıyla iki yama seti yayınladı. İkincisi, ilk setteki tüm düzeltmeleri ve üçüncü taraf kapalı kaynak ve çekirdek bileşenleri için ek yamaları içerir. Özellikle, bu diğer yamalara tüm Android cihazlar tarafından ihtiyaç duyulmayabilir.
Cihaz satıcıları, güncelleme prosedürünü kolaylaştırmak için ilk yama seviyesinin konuşlandırılmasına öncelik verebilir, ancak bu doğal olarak yüksek bir potansiyel sömürü riskini düşündürmez.
Ayrıca, sürümden hemen sonra aylık güvenlik güncellemeleri alan Google Pixel cihazları dışında, diğer üreticilerin yamaları piyasaya sürmeden önce biraz zaman gerektireceğini de belirtmek önemlidir. Çeşitli donanım yapılandırmalarında uyumsuzluk olmamasını sağlamak için güvenlik yamalarının ek test edilmesi için bu gecikme gereklidir.
F5, uzaktan kod yürütme saldırılarına izin vererek Big-Ip Auth Bypass'ı düzeltir
Yeni Microsoft Exchange Zero-Days RCE, Veri Hırsızlığı Saldırılarına İzin Veriyor
3.000 Apache ActiveMQ sunucusu çevrimiçi olarak maruz kalan RCE saldırılarına karşı savunmasız
Hellokitty fidye yazılımı artık saldırılarda apache ActiveMq kusurunu kullanıyor
Solarwinds Access Denetim Çözümü'nde bulunan kritik RCE kusurları
Kaynak: Bleeping Computer