Google Issues Patches for Critical Android Flaw That Could Allow RCE Without User Interaction

Goo­gle ha pu­bli­ca­do su bo­le­tín de se­gu­ri­dad co­rres­pon­dien­te a no­viem­bre, en el cual ad­vier­te sobre una vul­ne­ra­bi­li­dad crí­ti­ca que per­mi­ti­ría a un ata­can­te eje­cu­tar có­di­go de forma re­mo­ta en dis­po­si­ti­vos mó­vi­les sin re­que­rir nin­gu­na in­ter­ac­ción por parte del usua­rio. Este fallo, iden­ti­fi­ca­do bajo una re­fe­ren­cia es­pe­cí­fi­ca y pre­sen­te en ver­sio­nes del sis­te­ma ope­ra­ti­vo com­pren­di­das entre la ca­tor­ce y la die­ci­sie­te, con­sis­te en un po­si­ble des­bor­da­mien­to de búfer en la me­mo­ria di­ná­mi­ca den­tro de un ar­chi­vo de có­di­go del sis­te­ma. Las ver­sio­nes an­te­rio­res no apa­re­cen men­cio­na­das como vul­ne­ra­bles, y hasta la fecha del bo­le­tín no se tenía cons­tan­cia de que esta de­bi­li­dad es­tu­vie­ra sien­do apro­ve­cha­da en ata­ques reales ni fi­gu­ra­ba en ca­tá­lo­gos ofi­cia­les de vul­ne­ra­bi­li­da­des co­no­ci­das.

Para ve­ri­fi­car la pro­tec­ción fren­te a este pro­ble­ma, los usua­rios deben re­vi­sar la fecha del par­che de se­gu­ri­dad en los ajus­tes del dis­po­si­ti­vo, re­qui­rién­do­se un nivel es­pe­cí­fi­co de ac­tua­li­za­ción para que­dar cu­bier­tos. El fa­bri­can­te del equi­po y la ope­ra­do­ra te­le­fó­ni­ca son los en­car­ga­dos de dis­tri­buir las co­rrec­cio­nes ne­ce­sa­rias de ma­ne­ra in­de­pen­dien­te. Asi­mis­mo, el bo­le­tín in­clu­ye in­for­ma­ción sobre otros fa­llos gra­ves, como uno que afec­ta al có­di­go de pro­ce­sa­mien­to de men­sa­jes de texto y que po­dría oca­sio­nar ata­ques de de­ne­ga­ción de ser­vi­cio de forma re­mo­ta, in­te­rrum­pien­do in­clu­so lla­ma­das de emer­gen­cia me­dian­te el envío de men­sa­jes ma­li­cio­sos que no dejan ras­tro vi­si­ble en la ban­de­ja de en­tra­da.