Google vá 2 lỗ hổng Zero-Days nghiêm trọng trên Android

Đáng lo ngại, CVE-2024-43047 là một lỗ hổng nghiêm trọng (điểm CVSS 7,8) nằm trong dịch vụ Bộ xử lý tín hiệu số (DSP) của Qualcomm. Lỗ hổng zero-day này được phát hiện bởi các nhà nghiên cứu từ Google Project Zero, Phòng thí nghiệm bảo mật của Tổ chức Ân xá Quốc tế và nhà nghiên cứu bảo mật độc lập Conghui Wang. Lỗ hổng này ảnh hưởng đến nhiều chipset Qualcomm và việc khai thác lỗ hổng có thể dẫn đến hỏng bộ nhớ, cho phép kẻ tấn công leo thang đặc quyền và xâm phạm các thiết bị bị ảnh hưởng. Mặc dù, Qualcomm đã phát hành bản vá cho lỗ hổng này vào tháng 10, nhưng việc đưa bản vá vào bản cập nhật bảo mật Android tháng 11 đảm bảo việc phân phối và khắc phục rộng rãi hơn.

Một điểm quan trọng của bản cập nhật này là việc Google đã vá lỗ hổng CVE-2024-43093, một lỗ hổng leo thang đặc quyền tác động đến thành phần khung của Android. Lỗ hổng này ảnh hưởng đến các phiên bản Android 12, 13, 14 và 15, có khả năng khiến một phần đáng kể hệ sinh thái Android bị tấn công.

Theo thông lệ, Google sẽ cung cấp bản cập nhật theo 2 cấp: Bản vá ngày 01/11/2024 hướng đến các thành phần lõi của Android, bao gồm cả khung và hệ thống; Bản vá ngày 05/11/2024 sẽ xử lý các lỗ hổng bảo mật cụ thể đối với một số thành phần phần cứng nhất định, bao gồm các thành phần của Qualcomm, MediaTek, Imagination Technologies và các thành phần khác.

Người dùng Android được khuyến cáo nên cài đặt bản cập nhật bảo mật tháng 11 ngay khi có sẵn cho thiết bị. Với việc khai thác tích cực các lỗ hổng này, việc vá lỗi kịp thời là rất quan trọng để giảm thiểu nguy cơ bị xâm phạm.