O Google lançou as atualizações de segurança de outubro de 2023 para o Android, abordando 54 vulnerabilidades únicas, incluindo duas conhecidas por estarem sendo exploradas ativamente.
As duas falhas exploradas são
CVE-2023-4863
e
CVE-2023-4211
, para as quais o Google tem "indicações de que podem estar sob exploração limitada e direcionada.
A
CVE-2023-4863
é uma vulnerabilidade de estouro de buffer na onipresente biblioteca de código aberto libwebp, que afeta vários produtos de software, incluindo Chrome, Firefox, iOS, Microsoft Teams e muitos outros.
A falha em particular foi inicialmente erroneamente atribuída a CVEs separadas para o iOS da Apple e o Chrome do Google, embora estivesse realmente na biblioteca subjacente.
Uma tentativa subsequente de corrigi-la ao atribuir um novo CVE (
CVE-2023-5129
) foi rejeitada.
A
CVE-2023-4211
é uma falha ativamente explorada que afeta várias versões dos drivers Arm Mali GPU usados em uma ampla gama de modelos de dispositivos Android.
Essa falha é um problema de uso de memória após liberação que poderia permitir que invasores acessassem ou manipulassem dados sensíveis localmente.
Em resumo, a atualização do Android de outubro de 2023 traz:
13 consertos no Android Framework
12 consertos em componentes do sistema
Duas atualizações no Google Play
Cinco consertos em componentes Arm
Três consertos relacionados a chips MediaTek
Um conserto relacionado a chips Unisoc
18 consertos em componentes Qualcomm (15 para código-fonte fechado)
Dos 54 consertos relacionados ao Android 11 ao 13, cinco são considerados críticos e dois dizem respeito a problemas de execução remota de código.
Esta atualização segue o sistema padrão de lançamento de dois níveis de patch: o primeiro (2023-10-01) se concentra nos componentes principais do Android (Framework + Sistema), enquanto o segundo (2023-10-06) aborda o kernel e componentes de código-fonte fechado.
Essa abordagem permite que os fabricantes de dispositivos apliquem seletivamente atualizações relevantes para seus modelos de hardware, tornando-as disponíveis mais rapidamente.
Os destinatários do primeiro nível de patch obterão as atualizações principais do Android do mês atual, bem como as atualizações de ambos os níveis do mês anterior, neste caso, setembro de 2023.
Aqueles que veem o segundo nível de patch na tela de atualização receberão todas as atualizações mencionadas no boletim deste mês.
As versões do Android 10 e anteriores não são mais suportadas, no entanto, dependendo do escopo de algumas vulnerabilidades recentemente corrigidas, elas também podem ser impactadas.
Dito isso, os usuários de sistemas Android mais antigos são recomendados a atualizar para um modelo mais recente ou a instalar em seu dispositivo uma distribuição Android de terceiros que ofereça atualizações de segurança para seus modelos.
Publicidade
A primeira certificação prática brasileira de wireless hacking veio para mudar o ensino na técnica no país, apresentando labs práticos e uma certificação hands-on.
Todas as técnicas de pentest wi-fi reunidos em um curso didático e definitivo.
Saiba mais...