Si se explotan, estas fallas pueden permitir a los atacantes obtener acceso no autorizado a información confidencial o, en general, causar problemas

La semana pasada, ARM dio a conocer información sobre tres vulnerabilidades en sus controladores de GPU utilizados en los sistemas Android, ChromeOS y Linux y como tal las vulnerabilidades permiten que un usuario local sin privilegios ejecute su código con derechos del kernel.

Por su parte Google, también abordo parte de los problemas de seguridad en Android y menciona los atacantes ya han estado explotando una de las vulnerabilidades (CVE-2023-4211) en exploits funcionales para llevar a cabo ataques dirigidos del tipo Zero Day. Por ejemplo, la vulnerabilidad se puede utilizar en aplicaciones maliciosas distribuidas a través de fuentes dudosas para obtener acceso completo al sistema e instalar componentes que espíen al usuario.

Sobre las vulnerabilidades encontradas y de la cual ya se menciono, es la CVE-2023-4211, la vulnerabilidad surge al realizar una operación incorrecta de la memoria de la GPU, la cual podría dar como resultado el acceso a la memoria del sistema ya liberada, que podría usarse mientras se ejecutan otras tareas en el kernel. Los modelos de GPU vulnerables se utilizan en los teléfonos inteligentes Google Pixel 7, Samsung S20 y S21, Motorola Edge 40, OnePlus Nord 2, Asus ROG Phone 6, Redmi Note 11, 12, Honor 70 Pro, RealMe GT, Xiaomi 12 Pro, Oppo Find X5 Pro , Reno 8 Pro y algunos dispositivos con chips Mediatek.

La evaluación de la gravedad se basa en el efecto que la explotación de la vulnerabilidad podría tener en un dispositivo afectado, suponiendo que las mitigaciones de la plataforma y el servicio estén desactivadas para fines de desarrollo o si se omiten con éxito.

Por la parte de la solución de la vulnerabilidad, se menciona que esta fue distribuida en la actualización del controlador r43p0 para las GPU de Mali basadas en microarquitecturas Bifrost y Valhall, así como para las GPU ARM de quinta generación. No se ha publicado ninguna actualización de controladores para las GPU de la familia Midgard. La solución también se ofrece como parte de las actualizaciones de septiembre para todas las ramas con soporte actual de Chrome OS y en la actualización de Android de octubre.

Otra de las vulnerabilidades que se dio a conocer es CVE-2023-33200 y la cual surge en las operaciones incorrectas de la GPU pueden provocar una condición de carrera y acceso a la memoria que ya ha sido liberada por el controlador. La vulnerabilidad se solucionó en las actualizaciones de controladores r44p1 y r45p0 para las GPU Mali basadas en microarquitecturas Bifrost y Valhall, así como para las GPU ARM de quinta generación.

La última de las vulnerabilidades mencionadas es CVE-2023-34970 y la cual surge en las operaciones incorrectas de la GPU pueden provocar un desbordamiento del búfer y un acceso a la memoria fuera de los límites. La vulnerabilidad se solucionó en las actualizaciones de controladores r44p1 y r45p0 para las GPU de Mali basadas en la microarquitectura Valhall y las GPU ARM de quinta generación.

Por último y no menos importante, como ya se mencionan arriba, Google también dio a conocer información sobre varias vulnerabilidades y en su informe de octubre y en la cual mencionó 53 vulnerabilidades, de las cuales a 5 vulnerabilidades se les asignó un nivel de peligro crítico y al resto se les asignó un nivel de peligro alto. Los problemas críticos le permiten lanzar un ataque remoto para ejecutar su código en el sistema.

Por la parte de los problemas marcados como peligrosos, se mencionan que estos permiten que el código se ejecute en el contexto de un proceso privilegiado mediante la manipulación de aplicaciones locales. Se identificaron tres problemas críticos (CVE-2023-24855, CVE-2023-28540 y CVE-2023-33028) en componentes propietarios de Qualcomm y dos (CVE-2023-40129, CVE-2023-4863) en el sistema (en libwebp y pila Bluetooth ).

En total, se identificaron 5 vulnerabilidades en componentes ARM, MediaTek, Unisoc y Qualcomm y de ellas cabe mencionar que los atacantes ya utilizan dos vulnerabilidades (una en las GPU ARM y otra en libwebp ) en sus exploits zero day.

Finalmente si estás interesado en poder conocer más al respecto, puedes consultar los detalles en el siguiente enlace.