Lỗ hổng Android đã vá gần đây bị khai thác trong các cuộc tấn công

Lỗ hổng có số hiệu CVE-2020-11261, đã được Google vá bằng các bản cập nhật bảo mật dành cho Android được phát hành vào tháng 1/2021.

Lỗ hổng này có tính nghiêm trọng cao, có vấn đề về xác thực đầu vào không hợp lệ, ảnh hưởng đến thành phần hiển thị/đồ họa của Qualcomm. Lỗ hổng được báo cáo tới Qualcomm thông qua Google vào tháng 7/2020 và nó ảnh hưởng tới một danh sách dài các chipset.

Trong một khuyến nghị, Qualcomm mô tả lỗ hổng CVE-2020-11261 như "một lỗi nhớ sai do kiểm tra không đúng lỗi trả về khi ứng dụng của người dùng yêu cầu cấp phát bộ nhớ có kích thước lớn".

Khuyến nghị cũng cho biết, vector tiếp cận lỗ hổng bảo mật là "nội bộ". Điều này cho thấy đây có thể là một lỗ hổng leo thang đặc quyền.

Nhà nghiên cứu Ben Hawkes của Google Project Zero cho biết, trong bản tin bảo mật của Android tháng 1/2021 là lỗ hổng đã được vá. Tuy nhiên đến nay lỗ hổng bảo mật dường như đã bị khai thác. "Có những dấu hiệu cho thấy CVE-2020-11261 có thể bị khai thác dưới một giới hạn và có chủ đích"

Google đã xác nhận việc báo cáo lỗ hổng của nhà nghiên cứu bảo mật Man Yue Mo thuộc GitHub. Nhà nghiên cứu đã nhận được một khoản tiền thưởng đáng kể từ Google trong vài năm qua cho các phát hiện về những lỗi nghiêm trọng tiềm ẩn trong Chrome.

Tuần trước, Google cho biết, một tác nhân đe dọa tinh vi đã sử dụng ít nhất 11 lỗ hổng zero-day như một phần của chiến dịch gián điệp. Nhóm APT đã lợi dụng các cuộc tấn công kiểu lừa đảo trực tuyến (watering hole) để phát tán phần mềm độc hại đến các thiết bị Windows, Android và iOS. Và hiện nay cũng chưa rõ CVE-2020-11261 có bị nhóm này khai thác hay không.