İngiliz yarı iletken üreticisi Arm, Pazartesi günü yamalarla güncellenen sürücüleri yayınladığında, birçok Mali GPU’nun çekirdek sürücülerindeki bir güvenlik açığının (CVE-2023-4211) “sınırlı ve hedefli bir şekilde istismar edilebileceğini” doğruladı.
Arm’ın Mali GPU’ları, başta Google, Samsung, Huawei, Nokia, Xiaomi, Oppo ve diğer üreticilerin Android telefonları olmak üzere çeşitli cihazlarda kullanılmaktadır.
CVE-2023-4211 Hakkında
CVE-2023-4211, GPU belleğinin hatalı işlenmesinden kaynaklanır ve ayrıcalığa sahip olmayan yerel bir kişinin halihazırda serbest bırakılmış belleğe erişim sağlamasına olanak tanır.
Bir dizi Arm GPU için çekirdek sürücülerini etkiler:
- Midgard GPU Çekirdek Sürücüsü: r12p0 – r32p0 arasındaki tüm sürümler
- Bifrost GPU Çekirdek Sürücüsü: r0p0 – r42p0 arasındaki tüm sürümler
- Valhall GPU Çekirdek Sürücüsü: r19p0 – r42p0 arasındaki tüm sürümler
- Arm 5. Nesil GPU Mimarisi Çekirdek Sürücüsü: r41p0 – r42p0 arasındaki tüm sürümler
“Bu sorun Bifrost, Valhall ve Arm 5. Nesil GPU Mimarisi Çekirdek Sürücüsü r43p0’da düzeltildi. Kullanıcıların bu sorundan etkilenmeleri durumunda yükseltme yapmaları önerilir. Lütfen Midgard GPU’ları için Arm desteğiyle iletişime geçin,” diye tavsiyede bulundu Arm.
Google’ın Tehdit Analizi Grubu’ndan Maddie Stone ve Google Project Zero’dan Jann Horn’un kusuru bildirdiği belirtildi, ancak bu kusurun kullanıldığı saldırılarla ilgili şu anda hiçbir ayrıntı mevcut değil.
Mali GPU çekirdek sürücülerindeki iki sıfır gün güvenlik açığının (CVE-2022-22706, CVE-2023-26083) daha önce ticari casus yazılım satıcısı Variston tarafından casus yazılım dağıtmak için kullanıldığı tespit edilmişti.
Düzeltmelerin yayılması
Arm ayrıca, aynı sürücülerden bazılarını (CVE-2023-33200, CVE-2023-34970) etkileyen iki ek güvenlik açığının düzeltilmesini de sağladı; bunların her ikisi de saldırganların zaten boş olan belleğe erişmesine olanak sağlayabilir.
CVE-2023-4211 düzeltmeleri halihazırda Google tarafından Pixel cihazlarına iletilmiş ve ChromeOS ile ChromeOS Flex’e dahil edilmiştir.
Ekim 2023 Android Güvenlik Bülteni’ne göre, Android iş ortakları bu sorunla ilgili bilgilendirildi ve umarız yakın zamanda yamaları kendi Android tabanlı telefonlarına yönelik düzenli güvenlik güncellemelerinde uygulayacaklardır.