Di antara pembaruan keamanan Android Google pada bulan November adalah patch untuk kelemahan zero-day yang "mungkin berada di bawah eksploitasi terbatas dan ditargetkan," kata perusahaan itu.

Dari kumpulan 39 patch bulan ini, 18 di antaranya menancapkan kelemahan pada kerangka kerja dan komponen sistem dan 18 kerentanan alamat lainnya di kernel dan komponen vendor.

Gunakan-Setelah-Free Flaw di Kernel

Google menjelaskan salah satu yang mungkin dipecahkan oleh penyerang – CVE-2021-1048 – yang disebabkan oleh kerentanan use-after-free (UAF) dalam kernel. Bug UAF memungkinkan penggantian kode dengan menggunakan penunjuk yang menggantung di memori dinamis. Dalam hal ini, itu dapat dieksploitasi untuk eskalasi hak istimewa lokal dan, ketika dipasangkan dengan bug eksekusi kode jarak jauh (RCE), eksploitasi dapat memungkinkan penyerang untuk mendapatkan kontrol administratif atas sistem yang ditargetkan. spesifik dari serangan yang mengeksploitasi CVE-2021-1048, tetapi fakta bahwa mereka ditargetkan meningkatkan kemungkinan kelompok ancaman persisten tingkat lanjut (APT) negara-bangsa melakukannya untuk spionase.

Ada preseden untuk itu: Awal tahun ini, perangkat Android ditargetkan dalam kampanye spionase yang mengadaptasi LodaRAT – yang dikenal untuk menargetkan perangkat Windows – untuk juga mengejar perangkat Android dalam kampanye yang menargetkan Bangladesh.

Masalah Paling Parah

Pembaruan paling parah mengatasi dua kerentanan eksekusi kode jarak jauh (RCE) kritis – dilacak sebagai CVE-2021-0918 dan CVE-2021-0930 – dalam komponen Sistem. Cacat dapat memungkinkan penyerang jarak jauh untuk mengeksekusi kode arbitrer dalam konteks proses istimewa dengan mengirimkan transmisi yang dibuat khusus ke perangkat yang ditargetkan. dengan asumsi platform dan mitigasi layanan dimatikan untuk tujuan pengembangan atau jika berhasil dilewati,” menurut pembaruan keamanan.

Ada dua kelemahan keamanan kritis yang diatasi dalam tambalan bulan ini: CVE-2021-1924 dan CVE-2021-1975, keduanya yang mempengaruhi komponen Qualcomm.

Namun kelemahan kritis lainnya dapat ditemukan di layanan jarak jauh Android TV – yang memungkinkan ponsel atau tablet Android digunakan sebagai remote untuk Android TV. Yang ini RCE lain, dilacak sebagai CVE-2021-0889. Penyerang terdekat yang berhasil mengeksploitasi CVE-2021-0889 dapat merayap, berpasangan secara diam-diam dengan TV, dan mengeksekusi kode arbitrer tanpa hak istimewa atau interaksi pengguna yang diperlukan.

Masalah Tingkat Tinggi

29 bug lainnya dinilai sebagai tingkat keparahan tinggi, dengan patch yang menangani kerentanan dalam Framework, Media Framework, System, kernel, Android TV, MediaTek, dan komponen Qualcomm.

Google mengeluarkan saran keamanan terpisah untuk perangkat Pixel.