El año nuevo ya tiene más de un mes. ¿Qué significa esto para Android? Otro año lleno de vulnerabilidades y correcciones. Hay una buena combinación de problemas marcados como Crítico y Alto este mes, y nada debería ser una sorpresa (ya que nos hemos acostumbrado a que algunos componentes se vean afectados). Aún así, cualquier persona preocupada por la seguridad querrá saber qué sucede en la plataforma Android y el boletín de seguridad de hoy.

Antes de sumergirnos en lo que se incluye en el boletín de seguridad de Android de este mes, siempre es bueno saber qué versión de seguridad está instalada en su dispositivo. Para mi sorpresa, mi conductor diario, un Pixel 3, está ejecutando un parche de seguridad de un mes (5 de enero de 2018).

VER: Descarga de plantilla de política de traer su propio dispositivo (BYOD) (Tech Pro Research)

Para saber qué nivel de parche está usando, abra Configuración y vaya a Acerca del teléfono. Si está utilizando Android Pie, esta ubicación ha sido reemplazada por Configuración | Seguridad y ubicación | Seguridad actualizada. Desplácese hacia abajo y toque la versión de Android que se encuentra en su dispositivo. La ventana resultante (Figura A) revelará su nivel de parche de seguridad.

Figura A

Índice
  • Terminología
  • 2019-02-01 Nivel de parche de seguridad
  • 2019-05-02 Nivel de parche de seguridad
  • Mejora y actualiza
  • Terminología

    Encontrará diferentes tipos de vulnerabilidades en la lista. Los posibles tipos incluyen:

    • RCE: ejecución remota de código
    • EoP – Elevación de privilegios
    • Identificación - Divulgación de información
    • DoS: denegación de servicio

    Y ahora sobre los problemas.

    2019-02-01 Nivel de parche de seguridad

    cuestiones críticas

    Hubo cinco problemas, marcados como críticos, para este nivel de parche. Los tres primeros afectaron a Framework y se marcaron como tales porque podían permitir que un atacante remoto, usando un archivo de imagen PNG malicioso, ejecutara código arbitrario como parte de un proceso privilegiado. Los errores relacionados (enumerados por CVE, referencia y tipo) son:

    • CVE-2019-1986A-117838472 RCE
    • CVE-2019-1987A-118143775 RCE
    • CVE-2019-1988A-118372692 RCE

    Los dos últimos problemas marcados como críticos están en el sistema. Estas fallas se informaron como tales porque podrían permitir que un atacante remoto, a través de una transmisión maliciosa, ejecute código arbitrario como parte de un proceso privilegiado. Los errores relacionados (enumerados por CVE, referencia y tipo) son:

    • CVE-2019-1991A-110166268 RCE
    • CVE-2019-1992A-116222069 RCE

    Asuntos importantes

    Hay nueve problemas, marcados como Alto, para este nivel de parche. Los tres primeros están en la Biblioteca. Estas fallas se informaron como tales porque podrían permitir que un atacante remoto, utilizando un archivo malicioso, ejecute código arbitrario como parte de un proceso sin privilegios. Los errores relacionados (enumerados por CVE, referencia y tipo) son:

    • CVE-2017-17760 A-78029030 RCE
    • CVE-2018-5268 A-78029634 RCE
    • CVE-2018-5269 A-78029727 RCE

    Los seis problemas restantes, marcados como Alto, están en el sistema. Estas fallas se informaron como tales porque podrían permitir que un atacante remoto, a través de una transmisión maliciosa, ejecute código arbitrario como parte de un proceso privilegiado. Los errores relacionados (enumerados por CVE, referencia y tipo) son:

    • CVE-2019-1993A-119819889 EoP
    • CVE-2019-1994A-117770924 EoP
    • DNI CVE-2019-1995A-32589229
    • DNI CVE-2019-1996A-111451066
    • DNI CVE-2019-1997A-117508900
    • CVE-2019-1998A-116055338 DoS

    2019-05-02 Nivel de parche de seguridad

    cuestiones críticas

    Hubo seis problemas, marcados como críticos para el nivel de parche del 5/2/2019. El primer problema está en los componentes de NVIDIA y se ha marcado como tal porque podría permitir que un atacante remoto, usando un archivo malicioso, ejecute código arbitrario como parte de un proceso privilegiado. El error asociado (enumerado por CVE, referencia y tipo) es:

    • CVE-2018-6271 A-80198474 RCE

    El siguiente problema, marcado como Crítico, se encontró en los componentes de código abierto de Qualcomm. Los detalles de este problema se describen en el boletín de seguridad o alerta de seguridad de Qualcomm correspondiente. El error relacionado (enumerado por CVE, referencia, referencia de Qualcomm y componente) es:

    • CVE-2018-11262 A-76424945 QC-CR#2221192 cargador de arranque

    Los problemas críticos restantes se encontraron en los componentes de Qualcomm de código cerrado. Los detalles de este problema se describen en el boletín de seguridad o alerta de seguridad de Qualcomm correspondiente. Los errores relacionados (enumerados por CVE, Reference y Qualcomm Reference) son:

    • CVE-2018-11289 A-109678453
    • CVE-2018-11820 A-111089815
    • CVE-2018-11938 A-112279482
    • CVE-2018-11945 A-112278875

    Asuntos importantes

    Hubo 21 problemas, marcados como Alto para el nivel de parche del 5/2/2019. Los primeros cuatro se encontraron en el núcleo y se marcaron como tales porque podían permitir que una aplicación maliciosa instalada localmente ejecutara código arbitrario como parte de un proceso privilegiado. Los errores relacionados (enumerados por CVE, referencia, tipo y componente) son:

    • CVE-2018-10879 A-116406063 Sistema de archivos EoP ext4
    • CVE-2019-1999 A-120025196 Controlador del libro de trabajo EoP
    • CVE-2019-2000 A-120025789 Controlador del libro de trabajo EoP
    • CVE-2019-2001 A-117422211 ID de iomem

    Los siguientes tres problemas, marcados como altos, se encontraron en los componentes de NVIDIA. Estas fallas han sido reportadas como tales porque podrían permitir que un atacante remoto, usando un archivo malicioso, ejecute código arbitrario como parte de un proceso privilegiado. Los errores relacionados (enumerados por CVE, referencia, tipo y componente) son:

    • CVE-2018-6267 A-70857947 EoP libnvomx
    • CVE-2018-6268 A-80433161 EoP libnvomx
    • CVE-2016-6684 A-117423758 ID de registro del kernel

    Los siguientes cuatro problemas, marcados como Alto, se encontraron en los componentes de código abierto de Qualcomm. Los detalles de estos problemas se describen en el boletín de seguridad o alerta de seguridad de Qualcomm correspondiente. Los errores relacionados (enumerados por CVE, Referencia, Referencia de Qualcomm y Componente) son:

    • CVE-2018-11280 A-109741776 QC-CR#2185061 Módem
    • CVE-2018-11275 A-74409078 QC-CR#2221256 Cargador de arranque
    • CVE-2018-13900 A-119052051 QC-CR#2287499 Módem
    • CVE-2018-13905 A-119052050 QC-CR#2225202 Gráficos

    Los problemas importantes restantes se encontraron en componentes Qualcomm de código cerrado. Los detalles de estos problemas se describen en el boletín de seguridad o alerta de seguridad de Qualcomm correspondiente. Los errores relacionados (enumerados por CVE, Reference y Qualcomm Reference) son:

    • CVE-2018-11268 A-109678259
    • CVE-2018-11845 A-111088838
    • CVE-2018-11864 A-111092944
    • CVE-2018-11921 A-112278972
    • CVE-2018-11931 A-112279521
    • CVE-2018-11932 A-112279426
    • CVE-2018-11935 A-112279483
    • CVE-2018-11948 A-112279144
    • CVE-2018-5839 A-112279544
    • CVE-2018-13904 A-119050566

    Mejora y actualiza

    Los desarrolladores trabajarán diligentemente para solucionar las vulnerabilidades, pero depende de los usuarios finales asegurarse de que las soluciones lleguen a los dispositivos. Asegúrese no solo de buscar actualizaciones, sino también de aplicarlas tan pronto como estén disponibles.