Om de utnyttjas kan dessa brister tillåta angripare att få obehörig åtkomst till känslig information eller i allmänhet orsaka problem
Förra veckan meddelade ARM information om tre sårbarheter i dina använda GPU-drivrutiner på Android-, ChromeOS- och Linux-system och som sådan tillåter sårbarheterna en oprivilegierad lokal användare att exekvera sin kod med kärnrättigheter.
Samtidigt Google åtgärdar även en del av säkerhetsproblemen i Android och nämna angripare har redan utnyttjat en av sårbarheterna (CVE-2023-4211) i funktionella utnyttjar för att utföra riktade attacker av typen Zero Day. Till exempel kan sårbarheten användas i skadliga applikationer som distribueras via tvivelaktiga källor för att få full tillgång till systemet och installera komponenter som spionerar på användaren.
När det gäller de sårbarheter som hittats och som redan nämnts, är det CVE-2023-4211, Sårbarheten uppstår när man utför en felaktig operation av GPU-minnet, vilket kan resultera i åtkomst till redan frigjort systemminne, som kan användas medan andra uppgifter körs i kärnan. De sårbara GPU-modellerna används i smartphones Google Pixel 7, Samsung S20 och S21, Motorola Edge 40, OnePlus Nord 2, Asus ROG Phone 6, Redmi Note 11, 12, Honor 70 Pro, RealMe GT, Xiaomi 12 Pro, Oppo Find X5 Pro, Reno 8 Pro och vissa enheter med Mediatek-chips.
Allvarlighetsbedömningen baseras på den effekt som utnyttjandet av sårbarheten kan ha på en påverkad enhet, förutsatt att plattforms- och tjänstebegränsningar har inaktiverats i utvecklingssyfte eller lyckats kringgås.
På den del av lösningen på sårbarheten, nämns att den distribuerades i r43p0-drivrutinsuppdateringen för Mali GPU:er baserade på Bifrost och Valhall mikroarkitekturer, samt för XNUMX:e generationens ARM GPU:er. Inga drivrutinsuppdateringar har släppts för Midgard-familjens GPU:er. Fixeringen erbjuds också som en del av septemberuppdateringarna för alla för närvarande stödda grenar av Chrome OS och i oktober Android-uppdateringen.
En annan sårbarhet som avslöjades är CVE-2023-33200 och som uppstår vid felaktiga GPU-operationer de kan orsaka ett tävlingstillstånd och komma åt minne som redan har frigjorts av styrenheten. Sårbarheten åtgärdades i drivrutinsuppdateringarna r44p1 och r45p0 för Mali GPU:er baserade på Bifrost och Valhall mikroarkitekturer, samt femte generationens ARM GPU:er.
Den sista av de nämnda sårbarheterna är CVE-2023-34970 och vilken uppstår vid felaktiga GPU-operationer de kan orsaka buffertspill och minnesåtkomst utanför gränserna. Sårbarheten åtgärdades i drivrutinsuppdateringarna r44p1 och r45p0 för Mali GPU:er baserade på Valhalls mikroarkitektur och XNUMX:e generationens ARM GPU:er.
Sist men inte minst, som redan nämnts ovan, Google meddelade också information om olika sårbarheter och i sin oktoberrapport och där den nämnde 53 sårbarheter, varav 5 sårbarheter tilldelades en kritisk risknivå och resten tilldelades en hög risknivå. Kritiska problem gör att du kan starta en fjärrattack för att exekvera din kod på systemet.
För den del av problemen som markerats som farliga, nämns de att dessa tillåter koden att exekvera inom ramen för en privilegierad process genom att manipulera lokala applikationer. Tre kritiska problem (CVE-2023-24855, CVE-2023-28540 och CVE-2023-33028) identifierades i proprietära Qualcomm-komponenter och två (CVE-2023-40129, CVE-2023-4863) i systemet (i libwebp och Bluetooth-batteri).
Totalt identifierades 5 sårbarheter i ARM-, MediaTek-, Unisoc- och Qualcomm-komponenter och av dem är det värt att nämna att angriparna redan använder två sårbarheter (en i ARM GPU:er och en annan i libwebp) i sina zero day-exploitationer.
Slutligen om du är intresserad av att veta mer om detkan du kontrollera detaljerna i följande länk.