Google исправляет недостатки в обработке мультимедийных данных в Android

Новые исправления безопасности для устройств Nexus от Google устраняют семь уязвимостей, два из которых являются критическими и могут позволять удаленное выполнение кода при обработке мультимедийных файлов.

Обновления, выпущенные в понедельник, являются частью недавно введенного в Google ежемесячного цикла обновления и доступны для устройств Nexus с Android 5.1 (Lollipop) и 6.0 (Marshmallow). Исходный код исправлений также будет добавлен в проект Open Source Project (AOSP) в течение следующих 48 часов.

Наиболее серьезные недостатки, исправленные в этом выпуске, отслеживаются как CVE-2015-6608 и CVE-2015-6609 , и находятся в компонентах mediaserver и libutils Android соответственно. Уязвимости могут быть удалены удаленно с помощью специально созданных медиафайлов.

[Дополнительная информация: Как удалить вредоносное ПО с вашего ПК с Windows]

Хакеры могут удаленно использовать уязвимости несколькими способами, включая отправку MMS-сообщений и обман пользователей медиа в браузере.

Это только последняя из серии критических уязвимостей, найденных и исправленных в компонентах воспроизведения мультимедиа Android с июля, когда уязвимость в библиотеке под названием Stagefright привела к крупному скоординированному исправлению сбоев от производителей устройств Android и побудило Google, Samsung и LG ввести ежемесячные обновления для системы безопасности.

Фактически, три других недостатка, зафиксированные в этом новом обновлении с высокой степенью серьезности, находятся в средах mediaserver, libstagefright и libmedia - всех компонентах обработки мультимедиа. Оставшиеся две уязвимости находятся в компонентах Bluetooth и телефонии.

Google отмечает, что его оценка серьезности не учитывает смягчения, которые могут затруднить использование таких недостатков. Они включают в себя службы Verify Apps и SafetyNet, которые отслеживают потенциально опасные приложения, отключая автоматическую обработку мультимедиа в таких приложениях, как Google Hangouts и Messenger, и методы анти-эксплуатации, присутствующие в более новых версиях Android.