Dos nuevos avisos de seguridad
Boletín de seguridad de Android de noviembre de 2023
- Android Open Source Project (AOSP): versiones 11, 12, 12L, 13 y 14.
- Componentes:
- framework,
- system,
- sistema de actualizaciones de Google Play,
- Kernel LTS,
- Arm,
- MediaTek,
- Qualcomm (incluidos closed-source).
El boletín de Android, relativo a noviembre de 2023, soluciona múltiples vulnerabilidades de severidad crítica y alta que afectan a su sistema operativo, así como múltiples componentes, que podrían permitir a un atacante realizar una escalada de privilegios, divulgar información o provocar una denegación de servicio (DoS).
En caso de utilizar dispositivos Android, se debe comprobar que el fabricante haya publicado un parche de seguridad y actualizarlos.
En esta página se indica cómo verificar la versión de Android de un dispositivo y la fecha del parche de seguridad de algunos fabricantes. En caso de que siguiendo esta guía no se pueda comprobar la versión de los dispositivos o la fecha del parche de seguridad, se recomienda revisar la página del fabricante.
El boletín de seguridad de Android del mes de noviembre corrige varias vulnerabilidades, que se encuentran disponibles en los parches de seguridad del 01-11-2023 y del 05-11-2023, así como posteriores.
Las vulnerabilidades críticas se detallan a continuación:
- 1 de ejecución remota de código que afecta a system (CVE-2023-40113).
- 4 que afectan al componente Qualcomm closed-source:
- corrupción de memoria en el core durante syscall para la función de comparación Sectools Fuse (CVE-2023-21671);
- corrupción de memoria en el procesador de llamadas multimodo al procesar la máscara de bits API (CVE-2023-22388);
- corrupción de memoria en servicios centrales cuando el controlador Diag recibe un comando para configurar escuchadores de eventos (CVE-2023-28574);
- corrupción de memoria en el firmware WLAN al analizar una trama de gestión NAN con un atributo S3 (CVE-2023-33045).
Múltiples vulnerabilidades en chipsets Exynos de Samsung
Entre los modelos de chipsets Exynos afectados se encuentran:
- Exynos 9810,
- Exynos 9610,
- Exynos 9820,
- Exynos 980,
- Exynos 850,
- Exynos 1080,
- Exynos 2100,
- Exynos 2200,
- Exynos 1280,
- Exynos 1380,
- Exynos 1330,
- Exynos 9110,
- Exynos W920,
- Exynos Modem 5123,
- Exynos Modem 5300,
- Exynos Auto T5123.
Entre los dispositivos que emplean modelos de los chipsets afectados, se encuentran los siguientes:
- dispositivos móviles Samsung, incluidos los de las series Note 9, Note 10, S9, S10, S21, S22, A12, A13, A14, A21, A33, A50, A51, A53, A54, A71, A04s, F12, F13, F14, F34, F54, M12, M13, M14, M33, M34, M54;
- dispositivos móviles de Vivo, incluidos los de las series x30, x60, x70, S6, S15, S16;
- cualquier wearable que utilice el chipset Exynos W920;
- cualquier vehículo que utilice el chipset Exynos Auto T5123.
Daniel Komaromy ha reportado dos vulnerabilidades de severidad alta en diversos procesadores de la gama Exynos.
Se recomienda contactar con cada Product Manager de Samsung, según el producto afectado, y actualizar los dispositivos afectados lo antes posible.
- La gestión incorrecta de la inconsistencia del parámetro de la longitud podría causar la terminación anormal del correcto funcionamiento del dispositivo afectado. Se ha asignado el identificador CVE-2023-41111 para esta vulnerabilidad.
- La copia del búfer, cuando no se comprueba el tamaño de la entrada, podría provocar la terminación anormal del correcto funcionamiento del dispositivo afectado. Se ha asignado el identificador CVE-2023-41112 para esta vulnerabilidad.