Solo cinco vulnerabilidades se marcaron como críticas en el último boletín de seguridad, lo que continúa con la tendencia de la plataforma, lo que bien puede indicar el endurecimiento encontrado en Oreo. Además de estas vulnerabilidades críticas, hay algunas que están marcadas como altas. Veamos qué problemas hay en los parches 2018-01-01 y 2018-01-05.

Comprueba la versión de seguridad de tu dispositivo Android

Antes de sumergirnos en lo que se incluye en el boletín de este mes, siempre es bueno saber qué versión de seguridad está instalada en su dispositivo. Como era de esperar, mi conductor diario, un Essential PH-1, está ejecutando el parche de seguridad más reciente (5 de enero de 2018). Para saber qué nivel de parche está usando, abra Configuración y vaya a Acerca del teléfono. Desplácese hacia abajo hasta que vea el Nivel de parche de seguridad de Android (Figura A).

Figura A

Índice

Terminología

Encontrará diferentes tipos de vulnerabilidades en la lista. Los posibles tipos incluyen:

  • RCE: ejecución remota de código
  • EoP – Elevación de privilegios
  • Identificación - Divulgación de información
  • DoS: denegación de servicio

VER: Informe especial: Ciberseguridad en un mundo móvil e IoT (PDF gratuito)

2018-01-01

Vulnerabilidades críticas

Se encontraron cuatro vulnerabilidades críticas en el parche 01-01.

Marco de medios

Las primeras tres vulnerabilidades están en el marco de medios. Estas vulnerabilidades son del tipo RCE y podrían permitir que un atacante remoto utilice un archivo malicioso para ejecutar código arbitrario en el marco de un proceso privilegiado. Los temas relacionados son:

  • A-68320413
  • A-66969281
  • A-66969193

La última vulnerabilidad crítica encontrada en el parche del 01/01/2018, también del tipo RCE, afecta al sistema y podría permitir que un atacante remoto utilizando un archivo malicioso ejecute código arbitrario como parte de un proceso privilegiado. El asunto relacionado es: A-67474440.

Altas vulnerabilidades

Y ahora pasamos de las vulnerabilidades críticas al área de problemas marcados como elevados. En esta área encontramos una serie de errores encontrados. La primera, y más seria, está en Android Runtime. Este problema similar a EoP podría permitir que un atacante remoto eluda los requisitos de interacción del usuario para acceder a permisos adicionales. El asunto relacionado es: A-68341964.

Y ahora, la mayor parte de las ediciones del Boletín de seguridad de enero se encuentran en Media Framework. Hay 12 vulnerabilidades marcadas como Altas, que se pueden encontrar de tipo DoS y EoP. Estas vulnerabilidades podrían permitir que un atacante remoto use un archivo malicioso para ejecutar código arbitrario como parte de un proceso privilegiado. Los errores relacionados (y sus tipos relacionados) son:

  • A-66969349–EoP
  • A-67864232–EoP
  • A-67737022–EoP
  • A-65483324–EoP
  • A-64452857–DoS
  • A-64380403–DoS
  • A-64380202–DoS
  • A-65718319–DoS
  • A-65398821–DoS
  • A-63522067–DoS
  • A-64784973–DoS
  • A-33846679–DoS

El sistema Android contiene tres vulnerabilidades marcadas como altas. Cada uno de estos podría permitir que un atacante remoto use un archivo malicioso para ejecutar código arbitrario como parte de un proceso privilegiado. Los temas relacionados son:

  • A-68217907–EoP
  • A-67782345–EoP
  • A-65174158–DoS

2018-01-05

Ahora estamos pasando al nivel de parche de seguridad 01-05, donde solo había una vulnerabilidad crítica y algunas marcadas como altas.

Vulnerabilidades críticas

La única vulnerabilidad marcada como Crítica está en los componentes de Qualcomm. Como estos componentes son de fuente cerrada, los detalles solo se pueden encontrar en el boletín/alerta de seguridad de Qualcomm AMSS. El asunto relacionado es: A-62212946.

Altas vulnerabilidades

El resto del parche de seguridad 01-05 incluye vulnerabilidades marcadas como Altas. Comienzan con los componentes de HTC. Esta vulnerabilidad es de tipo DoS y podría permitir que un atacante remoto provoque una denegación de servicio en un proceso crítico del sistema. El problema relacionado es: A-38495900.

El siguiente es el Kernel, que sufre de cuatro vulnerabilidades marcadas como Altas. Estos problemas podrían permitir que una aplicación maliciosa instalada localmente ejecute código arbitrario en el contexto de un proceso privilegiado. Los temas relacionados son:

  • A-66694921–Procesamiento de paquetes EoP–TCP
  • A-64386293–EoP–Skcipher
  • A-66954097–EoP–Ashmem
  • A-68266545–ID–Temporizadores de alta precisión

Los componentes de LG sufren una sola vulnerabilidad marcada como Alta. Este problema similar a EoP podría permitir que una aplicación maliciosa instalada localmente ejecute código arbitrario como parte de un proceso privilegiado. El problema relacionado es: A-68269077–Bootloader.

Una vez más, volvemos al marco de medios. Se ha descubierto una sola vulnerabilidad EoP que podría permitir que una aplicación maliciosa instalada localmente ejecute código arbitrario en el contexto de un proceso privilegiado. El asunto relacionado es: A-38118127.

MediaTek no escapó al escrutinio. Se ha descubierto una única vulnerabilidad de EoP que podría permitir que una aplicación local malintencionada ejecute código arbitrario como parte de un proceso privilegiado. El asunto relacionado es: A-38308024.

Se descubrió que el controlador NVIDIA contenía una vulnerabilidad EoP que podría permitir que una aplicación maliciosa instalada localmente ejecutara código arbitrario en el contexto de un proceso privilegiado. El problema relacionado es: A-37776156.

Finalmente, los componentes de código abierto de Qualcomm contienen dos vulnerabilidades de tipo EoP que podrían permitir que un atacante remoto utilice un archivo especialmente diseñado para ejecutar código arbitrario como parte de un proceso privilegiado. Los errores asociados son:

  • CVE-2017-15849–Pantalla
  • CVE-2017-11069 – Cargador de arranque

Eso es todo por las vulnerabilidades críticas y altas encontradas en los últimos parches de seguridad de Android.

Mejora y actualiza

Los desarrolladores trabajarán diligentemente para solucionar las vulnerabilidades, pero depende de los usuarios finales asegurarse de que las soluciones lleguen a los dispositivos. Asegúrese no solo de buscar actualizaciones, sino también de aplicarlas tan pronto como estén disponibles.