Google ha rilasciato il set di patch di febbraio per Android. In totale, gli aggiornamenti risolvono 48 vulnerabilità, tra cui una vulnerabilità 0-day del kernel che è già stata sfruttata attivamente dagli hacker.

Alla vulnerabilità zero-day è stato assegnato l’identificatore CVE-2024-53104 ed è correlata all’escalation dei privilegi nel driver USB Video Class del kernel Android. Lo sfruttamento di questo problema ha consentito ad aggressori locali autenticati di aumentare i propri privilegi.

L’errore era correlato al fatto che il driver analizzava in modo errato i frame di tipo UVC_VS_UNDEFINED nella funzione uvc_parse_format. Di conseguenza, la dimensione del framebuffer è stata calcolata in modo errato, causando scritture fuori dai limiti e potrebbe essere utilizzata per eseguire codice arbitrario o attacchi di negazione del servizio (DoS).

Oltre alla vulnerabilità zero-day sfruttata, le patch Android di febbraio hanno corretto una vulnerabilità critica nel componente WLAN di Qualcomm. Qualcomm descrive questo bug critico (CVE-2024-45569) come un problema di danneggiamento della memoria del firmware causato da una convalida errata dell’indice array nella comunicazione host WLAN a causa di un contenuto di frame non valido.

Il CVE-2024-45569 può essere utilizzato dagli aggressori remoti per eseguire codice o comandi arbitrari, leggere o modificare la memoria o causare arresti anomali. Tuttavia, gli attacchi non richiedono privilegi o interazione da parte dell’utente.

A febbraio 2025, Google ha rilasciato due pacchetti di patch: 2025-02-01 e 2025-02-05. Quest’ultima include tutte le correzioni del primo lotto, oltre a correzioni aggiuntive per moduli closed-source di terze parti ed elementi del kernel che non si applicano a tutti i dispositivi Android.

L'articolo Allarme sicurezza su Android: hacker sfruttano un grave bug 0-day nel driver USB! proviene da il blog della sicurezza informatica.