Миллионы устройств на Android можно взломать обычной картинкой

Без подробностей Критическая уязвимость воперационной системе Android позволяет злоумышленникам использовать специально подготовленные графическиефайлы в распространенном формате PNG для взлома мобильных устройств.Исправление этих багов может быть довольно проблематичным. Google опубликовал бюллетень безопасности Android, в котором отдельно обозначил три критическиеуязвимости в компоненте Framework: CVE-2019-1986, CVE-2019-1987 и CVE-2019-1988. Все три позволяют запускатьпроизвольный код на конечном устройстве удаленно. Самая серьезная из них(неизвестно, правда, какая именно) позволяет взламывать устройство с помощьюспециально подготовленного PNG-файла, причем в контексте процесса с высокимипривилегиями. Все эти уязвимостизатрагивают миллионы устройств, работающих под управлением версий Android 7.0-9.0. В базеданных CVEникакого содержательного описания этих уязвимостей нет, под перечисленнымииндексами стоят пустые зарезервированные страницы. Бюллетень безопасности Google также скуп наподробности. Исходные коды для патчейопубликованы в репозитории Android Open Source Project. У Google пока нетданных о попытках эксплуатировать эти уязвимости злоумышленниками. 42 уязвимости, 11 — критические Помимо трех перечисленныхкритических багов в Framework, последнее обновление Android исправляет еще восемь критических уязвимостей.Всего же исправлено 42 уязвимости, и кроме 11 критических и одной, чьяопасность оценивается как средняя, все считаются опасными.

Устройства на Android можно взламывать с помощь PNG-файла Исходные коды для патчейопубликованы в репозитории AndroidOpenSourceProject. У Google пока нет данных о попытках эксплуатировать этиуязвимости злоумышленниками. Комментарий эксперта «Отсутствие детальнойинформации может быть связано с тем, что эксплуатировать данные уязвимостислишком легко, притом что последствия могут быть предельно серьезными, —полагает Олег Галушкин, директор поинформационной безопасности компании SECConsultServices. — Проблема еще в том, что, хотя Google и выпустил необходимыеобновления, распространить их на конечные устройства должны их непосредственныепроизводители, а это может занять какое-то время. Все это время устройствабудут оставаться уязвимыми, и, соответственно, раскрытие подробностей дастхакерам карт-бланш». Ссылка на источник