Google ha abordat un total de 43 vulnerabilitats, de les quals dos s’estan explotant activament. Estes vulnerabilitats afecten la seguretat dels dispositius Android, i una és particularment greu, amb una puntuació CVSS de 7.8, la qual cosa indica un nivell de risc elevat. L’actualització de seguretat de març inclou pedaços per a solucionar problemes de diverses severitats, incloent-hi alguns que podrien permetre l’execució remota de codi, la qual cosa posa en perill la privacitat i la seguretat dels usuaris.
Anàlisi
- CVE-2024-43093: esta vulnerabilitat es classifica com una escalada de privilegis en el marc d’Android. Permet als atacants obtindre un augment local de privilegis sense la necessitat de tindre privilegis addicionals, encara que requerix la interacció de l’usuari per a explotar-ho. Esta fallada té una puntuació CVSS de 7.8, la qual cosa la convertix en una de les més greus dins de les vulnerabilitats activament explotades.
- CVE-2024-50302: encara que Google menciona esta vulnerabilitat, juntament amb l’anterior, com una de les explotades activament, no es proporcionen detalls extensius sobre la seua naturalesa. No obstant això, es destaca que també és objecte d’explotació limitada i dirigida.
Recursos afectats
Les vulnerabilitats afecten principalment el sistema Android i els components clau que formen la seua infraestructura, com ara:
- Android Framework: diverses vulnerabilitats que afecten el marc de treball d’Android, amb un total de 9 fallades d’alta severitat i 10 de severitat crítica.
- Nucli d’Android: tres fallades d’alta severitat que afecten el nucli del sistema operatiu.
- Components de MediaTek i Qualcomm: vulnerabilitats que afecten els components d’estos dos fabricants importants, que sumen un total de 8 fallades d’alta severitat.
Recomanacions
- Actualització immediata dels dispositius: es recomana als usuaris de dispositius Android, especialment aquells amb dispositius Pixel, que instal·len les actualitzacions de seguretat més recents tan prompte com estiguen disponibles. Els usuaris han d’estar atents a les actualitzacions emeses pels fabricants dels seus dispositius, ja que alguns pedaços poden tardar més temps a ser implementats.
- Revisió de pedaços en el codi font: Google ha publicat els pedaços corresponents en el repositori del Projecte de codi obert d’Android, la qual cosa permet als fabricants de dispositius i desenrotlladors aplicar solucions a les vulnerabilitats.
Referèncias
https://cyberscoop.com/android-security-update-march-2025/
https://nvd.nist.gov/vuln/detail/CVE-2024-43093
https://nvd.nist.gov/vuln/detail/CVE-2024-50302
https://source.android.com/docs/security/bulletin/2025-03-01?hl=es-419