Google dice que Google y otros fabricantes de Android no repararon las fallas de seguridad

Google ha revelado varias vulnerabilidades de seguridad para teléfonos con GPU malienses, como los que tienen conjuntos de chips Exynos. El equipo Project Zero de la compañía dijo que informó los problemas a ARM (que produce las GPU) este verano. ARM solucionó los problemas al final en julio y agosto. Sin embargo, los fabricantes de teléfonos inteligentes, incluidos Samsung, Xiaomi, Oppo y el propio Google, no habían implementado parches para corregir las vulnerabilidades a principios de esta semana, dijo Project Zero.

Los investigadores identificaron cinco nuevos problemas en junio y julio y los informaron de inmediato a ARM. "Uno de estos problemas condujo a la corrupción de la memoria del núcleo, uno condujo a la divulgación de direcciones de memoria física en el espacio del usuario y los otros tres condujeron a una condición de uso de la página física después del lanzamiento", escribió Ian Beer de Project Zero en una publicación de blog. "Esto permitiría que un atacante continúe leyendo y escribiendo páginas físicas después de que hayan sido devueltas al sistema".

Beer señaló que sería posible que un pirata informático obtuviera acceso completo a un sistema porque podría omitir el modelo de permisos en Android y obtener "acceso extendido" a los datos de un usuario. El atacante podría hacer esto forzando al kernel a reutilizar las páginas físicas antes mencionadas como tablas de páginas.

Project Zero descubrió que tres meses después de que ARM solucionara estos problemas, todos los dispositivos de prueba del equipo aún eran vulnerables a las fallas. Hasta el martes, los problemas no se mencionaron "en ningún boletín de seguridad posterior" de los fabricantes de Android.

Engadget se comunicó con Google, Samsung, Oppo y Xiaomi para preguntarles cuándo implementarán las correcciones en sus dispositivos Android y por qué tardaron tanto en hacerlo. Como señaló SamMobile, los dispositivos de la serie Galaxy S22 de Samsung y los teléfonos con tecnología Snapdragon de la compañía no se ven afectados por estas vulnerabilidades.

Todos los productos recomendados por Engadget son seleccionados por nuestro equipo editorial, independiente de nuestra empresa matriz. Algunas de nuestras historias incluyen enlaces de afiliados. Si compra algo a través de uno de estos enlaces, podemos ganar una comisión de afiliado. Todos los precios son correctos en el momento de la publicación.