Bu ay yayınlanan Android güvenlik güncellemeleri, güvenliği ihlal edilmiş cihazlara ticari casus yazılım yüklemek için sıfır gün olarak istismar edilen yüksek önem dereceli bir güvenlik açığı yamasını yayınladı.
Güvenlik kusuru (CVE-2023-0266 olarak izlenir), Linux Çekirdeği ses alt sisteminde, kullanıcı etkileşimi gerektirmeden ayrıcalık artışına neden olabilen, ücretsiz kullanımdan sonra bir zayıflıktır.
Mart ayında yayınlanan bir Google Tehdit Analizi Grubu (TAG) raporuna göre, Samsung Android telefonlarını hedefleyen bir casus yazılım kampanyasında birden fazla 0 gün ve n günden oluşan karmaşık bir zincirin parçası olarak istismar edildi.
Google TAG, saldırganların güvenliği ihlal edilmiş cihazlara şifre çözme ve sohbet ve tarayıcı uygulamalarından veri çıkarma yeteneğine sahip bir casus yazılım paketi yerleştirdiğini söyledi.
Aynı açıklardan yararlanma zinciri, Chrome web tarayıcısında başka bir sıfır günü (CVE-2022-4262), bir Chrome sanal alan kaçışının yanı sıra Mali GPU Çekirdek Sürücüsü ve Linux Çekirdeği’ndeki güvenlik açıklarını içeriyordu.
Google TAG, saldırıları Windows platformunu hedefleyen Heliconia istismar çerçevesiyle tanınan İspanyol paralı casus yazılım satıcısı Variston’a bağladı.
Android güvenlik ekibi tarafından bu ayki güvenlik bültenine eklenen bir notta, “CVE-2023-0266’nın sınırlı, hedefli istismar altında olabileceğine dair göstergeler var.”
Tarafından keşfedilen Android ITW LPE hatası CVE-2023-0266 @_clem1 Ocak ayı, Mayıs Android Güvenlik Bülteni’nde düzeltildi. Cihazınızda 2023-05-05 güvenlik yaması düzeyi varsa, yama yapılmıştır. https://t.co/8hCSuD30VK
— Maddie Stone (@maddiesstone) 3 Mayıs 2023
Federal kurumlara 20 Nisan’a kadar yama yapma talimatı verildi
Google TAG’ın raporunu yayınlamasından bir gün sonra, Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), saldırılarda aktif olarak yararlanılan güvenlik açıklarının bir listesi olan Bilinen Yararlanılan Güvenlik Açıkları listesine CVE-2023-0266’yı ekledi.
CISA, güvenlik açığı bulunan tüm Android cihazlarını hatayı hedef alabilecek saldırılara karşı güvence altına almaları için Federal Sivil Yürütme Şube Ajanslarına (FCEB) 20 Nisan’a kadar üç hafta süre verdi.
Mayıs Android güncellemeleri ayrıca düzinelerce başka güvenlik hatasını, işletim sistemindeki ve çeşitli bileşenlerdeki yüksek önem düzeyine sahip ayrıcalık yükseltme sorunlarının çoğunu ele alır.
Pazartesi günü Android güvenlik ekibi, desteklenen Pixel cihazlarındaki ve Qualcomm bileşenlerindeki kusurları ele alan Mayıs Piksel Güncelleme Bülteni’ni de yayınladı.