Google на текущей неделе выпустила для Android обновления безопасности, устраняющие 17 критических уязвимостей.
Самая серьезная из исправленных уязвимостей касается компонента Android, отвечающего за обработку изображений и видеофайлов, – Mediaserver. Используя ее, хакер может дистанционно выполнять код на устройстве с помощью электронной почты, браузера или MMS-сообщений. Злоумышленник может обманным путем принудить пользователя запустить загрузку медиафайла, сконфигурированного специальным образом, на мобильное устройство, а также выполнить произвольный код.
Чтобы успешно воспользоваться уязвимостью, не нужно открывать вредоносный файл, поскольку при его получении Mediaserver сам включается для обработки нового объекта. Проблему обнаружили в начале этого года. Уязвимость присутствует во всех версиях Android, начиная с 4.4.4 KitKat и заканчивая 7.1.2 Nougat.
Кроме того, Google ликвидировала четыре уязвимости в компонентах Qualcomm, с помощью которых можно повышать права до суперпользовательских. Благодаря двум ошибкам в загрузчике Qualcomm вредоносная программа может осуществлять выполнение произвольного кода в контексте ядра. Еще одна уязвимость в драйвере также дает возможность выполнять код.