В своём февральском обновлении Android компания Google исправила опасную уязвимость, которая, как предполагается, использовалась злоумышленниками. Кроме того, были устранены несколько уязвимостей, связанных с компонентами производителей — партнёров Google.
Одной из исправленных ошибок стала CVE-2024-53104 — уязвимость в коде драйвера видеоустройств с USB, включённого в ядро Linux. Об этой ошибке известно не так много, но известно, что исправленный алгоритм пропускает анализ неопределённых кадров видео, что позволяет избежать записи в память данных, которые там не должны находиться.
Эта ошибка могла использоваться для того, чтобы вызвать сбой на устройстве или полностью захватить его. Изначально код драйвера предназначен для работы с сигналами USB-камер и других источников видео, поэтому эксплуатация уязвимости требует подключения вредоносного оборудования, которое будет передавать в систему неверные данные.
В Google рассказали, что уязвимость могла использоваться для «физического повышения привилегий без необходимости в дополнительных привилегиях на выполнение». Это означает, что для получения контроля над гаджетом под управлением Android достаточно было подключить к нему особым образом подготовленное устройство. «Существуют признаки того, что CVE-2024-53104 может подвергаться ограниченной целенаправленной эксплуатации», — признали в Google.
Всего в февральском обновлении исправлены 46 уязвимостей. Одна из них, под номером CVE-2024-45569, имела рейтинг 9,8 из 10. Она относилась к модулям локальной беспроводной связи Qualcomm и позволяла запускать удалённое выполнение кода или провоцировать сбой на устройстве.
Ещё одна уязвимость ядра, CVE-2025-0088, позволяла подменять таблицы системных страниц. Приложение, эксплуатирующее эту уязвимость, могло обеспечить злоумышленнику контроль над уязвимым устройством. В компонентах Qualcomm выявлено 10 уязвимостей, в компонентах MediaTek — 5, а в компонентах Imagination Technologies — 4, связанные с графической подсистемой PowerVR.
Первыми обновление Android получат владельцы устройств Google Pixel, а за ними — обладатели поддерживаемых устройств других производителей. Samsung, крупнейший партнёр Google, только закончила развёртывать январское обновление.