Google ha lanzado las actualizaciones de seguridad de Android para septiembre de 2023, que incluyen correcciones para un total de 33 vulnerabilidades. Entre ellas se encuentra una falla de día cero (Zero-Day) que ya está siendo explotada en la naturaleza.
Una vulnerabilidad crítica en el framework de Android
El error Zero-Day, identificado como CVE-2023-35674, es una falla en el Android Framework que permite a los atacantes escalar privilegios sin necesidad de interacción del usuario ni privilegios adicionales. Google ha alertado sobre la posibilidad de que esta vulnerabilidad esté siendo explotada de forma limitada y dirigida.
«Hay indicios de que CVE-2023-35674 puede estar bajo explotación limitada y dirigida», indicó Google en un aviso emitido el martes. «La explotación de muchos problemas en Android se vuelve más difícil debido a las mejoras en las versiones más recientes de la plataforma Android. Alentamos a todos los usuarios a actualizar a la última versión de Android siempre que sea posible».
Correcciones para tres errores críticos del sistema
Además del Zero-Day, las actualizaciones abordan tres fallas de seguridad críticas en el componente del sistema Android. Estos errores (CVE-2023-35658, CVE-2023-35673 y CVE-2023-35681) pueden permitir la ejecución remota de código (RCE), sin requerir privilegios adicionales ni interacción del usuario. Los atacantes podrían aprovechar estas vulnerabilidades en ataques RCE cuando las mitigaciones de plataforma y servicio se desactivan con fines de desarrollo o se omiten con éxito.
Un error crítico en componentes de Qualcomm
Qualcomm también ha identificado un error crítico (CVE-2023-28581) relacionado con la corrupción de memoria del firmware WLAN. Este problema podría permitir a los atacantes remotos ejecutar código arbitrario, leer información confidencial o provocar fallas del sistema en ataques de baja complejidad que no requieren privilegios ni interacción del usuario.
Dos niveles de parches de seguridad
Google ha emitido dos conjuntos de parches para septiembre de 2023, etiquetados como niveles de parche de seguridad 2023-09-01 y 2023-09-05. El último nivel abarca todas las correcciones del conjunto inicial más parches adicionales para componentes de código cerrado y del kernel de terceros que pueden no ser relevantes para todos los dispositivos Android.
El proveedor de su dispositivo puede optar por priorizar la implementación del nivel de parche inicial para acelerar el proceso de actualización, y esta elección no implica necesariamente un mayor riesgo de explotación.
Diferencias en la disponibilidad de las actualizaciones
A excepción de los dispositivos Google Pixel, que reciben las actualizaciones de seguridad cada mes de inmediato, otros proveedores necesitan tiempo para insertarlas en sus dispositivos. Esto se debe a que deben probar y ajustar los parches para cada configuración de hardware.
Aquellos que usan Android 10 o versiones anteriores deberían considerar actualizar a dispositivos que ejecuten una versión compatible o actualizar el actual usando una ROM de Android de terceros basada en una versión reciente de AOSP.