Google publicó el boletín de seguridad de noviembre para Android 8-11 con vulnerabilidades en Android. En consecuencia, las actualizaciones de seguridad que contienen el nivel de seguridad 2020-11-01 también eliminan varias vulnerabilidades clasificadas como críticas.
El primer lunes de cada mes, Google publica un boletín de seguridad para su sistema operativo móvil Android. La última versión se publicó el 2 de noviembre. En el nivel de parche de seguridad 2020-11-01, que es relevante para todos los dispositivos Android razonablemente actualizados, se documenta un total de 20 vulnerabilidades en Android, que los fabricantes de dispositivos deben eliminar con las actualizaciones correspondientes.
Índice de contenidos
Vulnerabilidades en Android en noviembre
El boletín de seguridad de Android correspondiente al mes de noviembre enumera seis vulnerabilidades de seguridad para el marco de Android. Dos de estas vulnerabilidades (CVE-2020-0441, -0442) se identifican como críticas. Afectan a todas las versiones de Android que aún son compatibles, es decir, de la 8.0 a la 11.
Podrían explotarse con mensajes especialmente preparados para activar un estado Dos permanente. Esto recuerda mucho a una vulnerabilidad de WhatsApp que se conoció en septiembre. CVE-2020-0443 también se puede usar para ataques DoS, pero esta vulnerabilidad solo se considera de alto riesgo. Las otras tres vulnerabilidades en Android también se identifican como de alto riesgo.
Algunos de ellos solo afectan a versiones individuales de Android. Un punto débil en el entorno de ejecución de Android está en Android 8 a 10 y se clasifica como de alto riesgo. Como suele ocurrir, las peores brechas de seguridad se encuentran en el marco de los medios.
Esta vez es la vulnerabilidad CVE-2020-0451 la que se clasifica como crítica al menos para Android 8, 8.1 y 9. Podría permitir a un atacante ejecutar código infiltrado con los privilegios elevados de un proceso privilegiado.
Para hacer esto, tiene que conseguir que las víctimas potenciales abran un archivo especialmente diseñado, como una foto o un vídeo. Para Android 10 y 11, la vulnerabilidad al menos todavía se considera de alto riesgo, pero solo puede conducir a la divulgación de información.
La brecha mas grave de seguridad de Android
También se debe tapar una brecha que se ha identificado como crítica en el sistema. CVE-2020-0449 afecta a Android 8 a 11 y solo puede ser explotado por un atacante que se encuentre en proximidad física. Esto sugiere interfaces de radio con un corto alcance como puerta de enlace, como NFC, Bluetooth y WLAN. Si tiene éxito, el atacante podría contrabandear código con una transmisión preparada y ejecutarlo con las autorizaciones aumentadas de un proceso privilegiado.
Las vulnerabilidades en Android específicas del hardware se pueden encontrar en el nivel de parche de seguridad 2020-11-05. Eso es aproximadamente tres agujeros en los SoC de MediaTek que se clasifican como de alto riesgo. Diez vulnerabilidades afectan a los componentes de Qualcomm, incluida una identificada como crítica. Las lagunas restantes se consideran de alto riesgo. Los detalles siguen siendo un secreto comercial del fabricante de chips.
El objetivo que tiene Google al publicar el boletín de seguridad es mejorar continuamente la seguridad y privacidad de los 2.500 millones de dispositivos que están activos diariamente con el sistema operativo Android en todo el mundo.
Política de actualización del fabricante
Desafortunadamente, no todos los fabricantes de teléfonos inteligentes brindan actualizaciones de seguridad para todos sus dispositivos de manera regular y razonablemente rápida. A menudo, solo los modelos superiores caros se suministran con actualizaciones. Solo los dispositivos Pixel de Google reciben la actualización asociada casi al mismo tiempo que se publica el boletín de seguridad mensual.
Como parte del programa Google Android One, HMD Global se ha comprometido a proporcionar actualizaciones de seguridad para todos los modelos de Nokia durante tres años. Pero eso lleva algunas semanas. Samsung, por otro lado, ya está proporcionando actualizaciones actuales en regiones seleccionadas, pero solo para algunos modelos superiores como Galaxy Note 20, Galaxy Note 10 y Galaxy S10. Como se puede ver, muchos agentes trabajan sobre las vulnerabilidades en Android.
