Google cảnh báo: Lỗ hổng zero-day ảnh hưởng đến các thiết bị Pixel đã bị khai thác trong thực tế

Google đã phát hành bản vá cho 50 lỗ hổng bảo mật ảnh hưởng đến các thiết bị Pixel của mình và cảnh báo rằng một trong số đó đã bị khai thác trong các cuộc tấn công có chủ đích dưới dạng zero-day.

Lỗ hổng được đề cập có định danh CVE-2024-32896, có độ nghiêm trọng mức cao, là một lỗi leo thang đặc quyền (EoP) tồn tại trong firmware Pixel.

Thứ Ba vừa qua, công ty đã cảnh báo rằng: “Có những dấu hiệu cho thấy CVE-2024-32896 có thể đang bị khai thác có chủ đích”.

"Tất cả các thiết bị Google được hỗ trợ sẽ nhận được bản cập nhật lên phiên bản vá 2024-06-05. Chúng tôi khuyến nghị tất cả người dùng chấp nhận các bản cập nhật này cho thiết bị của họ."

Google cũng đã liệt kê 44 lỗ hổng khác trong bản tin cập nhật Pixel tháng này, 7 trong số đó là các lỗ hổng leo thang đặc quyền nghiêm trọng và ảnh hưởng đến nhiều thành phần phụ (subcomponent) khác nhau.

Mặc dù các thiết bị Pixel cũng chạy hệ điều hành Android nhưng chúng nhận được các bản cập nhật bảo mật riêng từ các bản vá tiêu chuẩn hàng tháng được phân phối cho tất cả các OEM Android nhờ các tính năng và khả năng độc quyền cũng như nền tảng phần cứng riêng do Google trực tiếp kiểm soát.

Bạn có thể tìm thêm thông tin chi tiết về các bản cập nhật tháng 6 năm 2024 cho Pixel trong bản tin bảo mật dành riêng cho dòng điện thoại thông minh của Google.

Để áp dụng bản cập nhật bảo mật, người dùng Pixel cần truy cập phần Cài đặt > Bảo mật & quyền riêng tư > Hệ thống & cập nhật > Cập nhật bảo mật, nhấn vào Cài đặt và khởi động lại thiết bị để hoàn tất quá trình cập nhật.

Đầu tháng này, Arm cũng đã cảnh báo về một lỗ hổng use-after-free liên quan đến bộ nhớ (CVE-2024-4610) trong trình điều khiển kernel GPU Bifröst và Valhall đã bị khai thác trong thực tế. Lỗ hổng này ảnh hưởng đến tất cả các phiên bản driver Bidorf và Valhall từ r34p0 đến r40p0 và có thể bị khai thác trong các cuộc tấn công dẫn đến tiết lộ thông tin và thực thi mã tùy ý.

Vào tháng 4, Google đã vá hai lỗ hổng zero-day khác của Pixel có thể bị khai thác để mở khóa điện thoại mà không cần mã PIN và truy cập dữ liệu, bao gồm CVE-2024-29745 - lỗi tiết lộ thông tin trong bộ tải khởi động Pixel, và CVE-2024-29748, lỗi leo thang đặc quyền trong firmware Pixel.

Nguồn: bleepingcomputer.com.