Преди няколко дни коментирахме, че версията на Android Зефир Месечният пач за сигурност вече беше наличен за Nexus устройства и дори предоставихме инструкции за ръчно инсталиране. Е, има един много интересен детайл в тази актуализация.
Това не е нищо друго освен поправяне на дупка в сигурността, която е съществувала при разработката на компанията Mountain View. години наред. Ето защо това е добра новина, тъй като това показва, че Google работи за решаване на проблемите, които влияят на неговото развитие, въпреки че времето минава и те са почти остарели от хакери.
Конкретната уязвимост е известна като CVE-2016 2060-Основното му действие е да атакува SMS съобщенията на модели с процесори Qualcomm; ако желаният ефект бъде постигнат от „хакерите“, е възможно да се знае базата данни с контакти, до които е изпратено съобщение от този тип или на които е било осъществено обаждане. (експлоатация в приложението Телефон)Факт е, че този проблем вече е история с най-новата актуализация на Android Marshmallow (6.0.1).
Непълна подредба
Казваме това, защото уязвимостта, за която говорим, макар и да не е особено сериозна след появата на Lollipop, Да, това сериозно засяга модели с Android 4.3 или по-стара версия.... И ние вече знаем раздробяване който предлага работата на Google и следователно не са малко моделите, които все още остават без съответната корекция.
Какво друго поправя Google и как се разпространяват тези корекции?
Последните бюлетини за сигурност на Android включват десетки корекции, обхващащи системни компоненти, ядро и драйвери. Сред най-често срещаните видове уязвимости са: RCE (отдалечено изпълнение на код), EoP (повишаване на привилегиите), Идентификация (разкриване на информация) y DoS (отказ на услуга)Те също са били видени Нулева-Day експлоатирани по ограничен начин, като например CVE-2024 53197-, свързан с ескалация на привилегиите чрез USB аудио драйвера на ядрото и използван във вериги за експлойти от криминалистика, или CVE-2024 53150-, свързани с неправилно четене на информация в ядрото. Освен това, CVE-2024 53104- Това засегна контролера на USB Video Class (UVC), отваряйки вратата за записи извън границите и локални ескалации.
Успоредно с това, хардуерните партньори са коригирали критични недостатъци: Qualcomm отстрани уязвимости в графичните процесори Adreno, които биха могли да причинят повреда на паметта при сценарии за рендиране; Arm, MediaTek и Imagination Technologies Те са пуснали съответно корекции за процесор, модем и PowerVR-GPU. Не е необичайно месечният бюлетин да прави разлика между две нива на корекции (напр. 01 и 05), за да ускори често срещаните решения, като същевременно интегрира по-задълбочени корекции.
Трябва да се помни това Устройствата Google Pixel получават първи корекции и другите производители ги внедряват след адаптиране на корекциите към своя фърмуер. Освен това, Актуализациите на Google Play не заместват корекциите за сигурност на системата, така че когато има забавяния, „времето е от значение“. Ако имате модел с активна поддръжка, потърсете корекцията възможно най-скоро в Настройки > Система > Актуализация.
Какво да направите, ако пластирът все още не е пристигнал
- Активирайте и бъдете в течение Защита от Google PlayТова намалява риска от злонамерени приложения, особено ако ги инсталирате извън Google Play.
- Избягвайте изтеглянето на файлове и APK файлове от ненадеждни източници; мобилен зловреден софтуер Те обикновено използват уязвимости, преди да пристигне кръпката.
- Проверете ниво на корекция за сигурност В „Настройки“; ако устройството ви вече не се поддържа, помислете за ROM-ове, поддържани от общността, или надстройте до поддържан модел гарантирано.
Факт е, че само потребители с устройство Nexus (или еквивалентни устройства с директна поддръжка) и най-новия наличен пач са напълно безопасни. И, честно казано, това не е точно добра новина, тъй като Google е напълно наясно, че засега Marshmallow поддържа намалена квота в инсталираната база в сравнение с по-новите версии. Следователно, той трябва и е длъжен да действа много по-широко, когато предлага решения за сигурностИ не забравяйте за по-старите версии на операционната си система в тези случаи. Лично аз смятам, че това е сериозен недостатък, който не бива да се повтаря, не сте ли съгласни?
Въпреки това, кръпката, която поправя CVE-2016 2060- И последните подобрения в сигурността са стъпка в правилната посока: намаляване на повърхността на атакаТе затварят активни експлойти и укрепват екосистемата. Поддържането на телефона ви актуален и прилагането на най-добрите практики е ключово за минимизиране на рисковете в Android.