Google предупреждает: недостатки Android нулевого дня в телефонах Pixel, используемые судебными компаниями

[Father]

Google сообщила, что две уязвимости в системе безопасности Android, влияющие на ее смартфоны Pixel, были широко использованы судебными компаниями.

Уязвимости нулевого дня высокой степени тяжести заключаются в следующем -

• CVE-2024-29745 - Ошибка в раскрытии информации в компоненте загрузчика
• CVE-2024-29748 - Ошибка с повышением привилегий в компоненте прошивки

"Есть признаки того, что [уязвимости] могут использоваться ограниченно и целенаправленно", - сказал Google в отчете, опубликованном 2 апреля 2024 года.

Хотя технологический гигант не раскрыл никакой другой информации о характере атак, использующих эти недостатки, разработчики GrapheneOS заявили, что они "активно используются судебными компаниями в дикой природе".

"CVE-2024-29745 относится к уязвимости в прошивке fastboot, используемой для поддержки разблокировки / перепрошивки / блокировки", - сказали они в серии сообщений на X (ранее Twitter).

"Судебные компании перезагружают устройства в состоянии после первой разблокировки в режим быстрой загрузки на Pixels и других устройствах, чтобы использовать уязвимости там, а затем выгружать память".

GrapheneOS отметила, что CVE-2024-29748 могут быть использованы местными злоумышленниками для прерывания сброса настроек, запускаемого через API администратора устройства.

Раскрытие произошло более чем через два месяца после того, как команда GrapheneOS обнаружила, что судебные компании используют уязвимости встроенного программного обеспечения, которые влияют на телефоны Google Pixel и Samsung Galaxy, для кражи данных и слежки за пользователями, когда устройство не находится в состоянии покоя.

В нем также содержится призыв к Google внедрить функцию автоматической перезагрузки, чтобы затруднить использование недостатков прошивки.