Una vulnerabilità apparentemente importante è stata scoperta dal ricercatore di sicurezza e dottorando della Northwestern, Zhenpeng Lin, che colpisce il kernel su Pixel 6 e 6 Pro e altri dispositivi Android che eseguono versioni del kernel Linux basate su 5.10 come la serie Galaxy S22.
I dettagli precisi su come funziona la vulnerabilità non sono stati ancora pubblicati, ma il ricercatore afferma che può abilitare la lettura e la scrittura arbitrarie, l’escalation dei privilegi e disabilitare le protezioni di sicurezza di SELinux: in breve, questo è un grosso problema.
Il ricercatore ha confermato che Google non era stata informata della vulnerabilità legata al SELinux prima della sua dimostrazione su Twitter. Nessuno dei dettagli tecnici precisi su come funziona l’exploit è stato rilasciato, ma un video che afferma di mostrare l’exploit utilizzato su un Pixel 6 Pro è stato in grado di eseguire il root e disabilitare SELinux.
The latest Google Pixel 6 pwned with a 0day in kernel! Achieved arbitrary read/write to escalate privilege and disable SELinux without hijacking control flow. The bug also affects Pixel 6 Pro, other Pixels are not affected 🙂 pic.twitter.com/UsOI3ZbN3L
— Zhenpeng Lin (@Markak_) July 5, 2022
Con strumenti del genere, un attore malintenzionato potrebbe fare molti danni. Sulla base dei pochi dettagli mostrati nel video (che mostrano una sorta di script o processi di scansione eseguibili e quindi l’identificazione di quello che sembra un indirizzo o una posizione specifici), questo attacco potrebbe utilizzare una sorta di exploit di accesso alla memoria per fare le sue cose, potenzialmente come la recente vulnerabilità di Dirty Pipe che ha colpito la serie Galaxy S22, la serie Pixel 6 e alcuni altri dispositivi lanciati con le versioni del kernel Linux 5.8 su Android 12 e versioni successive.
Il ricercatore afferma inoltre che tutti i telefoni che utilizzano la v5.10 del kernel Linux sono interessati, che abbiamo verificato include la serie Galaxy S22 di Samsung.
Lin ha confermato ad Android Police che i dettagli precisi per la vulnerabilità non sono stati rilasciati pubblicamente. Ha inoltre confermato che Google è stato informato dei dettagli della vulnerabilità la scorsa notte ma non esiste ancora un CVE corrispondente.
In un’email successiva, Lin dice che Google è stato informato della vulnerabilità ieri ed ora ha 90 giorni di tempo per intervenire. Inoltre, non crede che la dimostrazione pubblica costituisca una violazione delle regole di divulgazione di Google in merito alle vulnerabilità della sicurezza e alle ricompense dei bug, definendola un ” proof of concept” per avvisare nel frattempo gli utenti della minaccia.
