كشف فريق Google Threat Intelligence Team وفريق Google Zero Project في أكتوبر عن ظهور ثغرات أمنية جديدة في شرائح Qualcomm وتم استغلالها بشكل مباشر. إن استغلال نقاط الضعف هذه محدود وموجه. بشكل عام، تقوم مجموعات القراصنة بتنفيذ هجمات مستهدفة، مثل التجسس.
ومن غير الواضح كيف تم استغلال الثغرات الأمنية ومن كان وراء الهجوم، الذي كشفت عنه جوجل عندما أصدرت نشرة أمان Android 2023-12 هذا الأسبوع.
الآن أعلنت شركة Qualcomm أيضًا عن هذه الثغرات الأمنية في النشرات الأمنية، وكانت درجات CVSS عالية جدًا:
الثغرة الأمنية الأولى هي CVE-2023-33063، مع درجة CVSS تبلغ 7.8، وتوصف بأنها تلف في الذاكرة أثناء مكالمة عن بعد من HLOS إلى DSP؛
الثغرة الثانية هي CVE-2023-33106، مع درجة CVSS 8.4، وتوصف بأنها تسبب تلف ذاكرة الرسومات عند إرسال قائمة مزامنة كبيرة في أمر AUX إلى IOCTL_KGSL_GPU_AUX_COMMAND؛
الثغرة الثالثة هي CVE-2023-33107، مع درجة CVSS 8.4. الوصف هو تلف في ذاكرة الرسومات عند تخصيص منطقة ذاكرة ظاهرية مشتركة أثناء استدعاء IOCTL.
وبالإضافة إلى هذه الثغرات الأمنية، تمت أيضًا معالجة 85 عيبًا في نشرة Android 2023-12 الأمنية. من بينها، الثغرة الأمنية عالية الخطورة في مكون النظام وهي CVE-2023-40088، والتي قد تؤدي إلى تنفيذ تعليمات برمجية عن بعد دون أي تفاعل.
بعد ذلك، سيتم إصدار تصحيحات الثغرات الأمنية ذات الصلة في AOSP لمصنعي المعدات الأصلية للحصول على التحديثات ثم إصدارها للنماذج المعدلة، لذلك يعتمد الوقت الذي يتمكن فيه المستخدمون من تلقي التحديثات بشكل أساسي على مصنعي المعدات الأصلية.