Google Soluciona la Vulnerabilidad Zero-Day del Núcleo de Android Utilizada Activamente en Ataques

Google lanzó el lunes sus parches de seguridad de febrero de 2025, que abordan 48 vulnerabilidades, incluida una vulnerabilidad crítica de zero-day que afecta al núcleo de Android y que estaba siendo explotada activamente en ataques.

Rastreada como CVE-2024-53104, la falla de zero-day ha sido descrita como un problema de alta gravedad que afecta al controlador USB Video Class (UVC) del núcleo de Android.

¿Cuál es la vulnerabilidad?

Esta vulnerabilidad es un fallo de escalada de privilegios en el controlador USB Video Class de Android, que si se explota, puede permitir a un atacante autenticado elevar privilegios en ataques de baja complejidad en dispositivos objetivo.

La falla de zero-day reside en la función uvc_parse_format. Un análisis inadecuado de los cuadros de tipo UVC_VS_UNDEFINED puede causar que el tamaño del búfer de los cuadros se calcule incorrectamente.

Esto puede llevar a escrituras fuera de límites, ya que los cuadros de este tipo no se consideraron al calcular el tamaño del búfer de cuadros en uvc_parse_streaming.

Esto puede permitir potencialmente a los atacantes ejecutar código arbitrario en un teléfono Android vulnerable o provocar condiciones de denegación de servicio.

“En el núcleo de Linux, se ha resuelto la siguiente vulnerabilidad: media: uvcvideo: Omitir el análisis de cuadros de tipo UVC_VS_UNDEFINED en uvc_parse_format. Esto puede llevar a escrituras fuera de límites, ya que los cuadros de este tipo no se tuvieron en cuenta al calcular el tamaño del búfer de cuadros en uvc_parse_streaming”, dice el aviso.

“Hay indicios de que CVE-2024-36971 puede estar bajo explotación limitada y dirigida”, señaló el gigante de búsqueda en su aviso mensual de seguridad de Android de febrero de 2025.

Además, Google abordó una falla de seguridad crítica, CVE-2024-45569 (puntuación CVSS de 9.8), en el componente WLAN de Qualcomm. Qualcomm afirma que esta falla es un problema de corrupción de memoria causado por una validación inadecuada del índice de matriz en la comunicación de host WLAN al analizar el ML IE debido a contenido de cuadro inválido. **

Parches Liberados

Google ha lanzado dos conjuntos de parches, los niveles de parches de seguridad 2025-02-01 y 2025-02-05, como parte de las actualizaciones de seguridad de febrero de 2025.

Mientras que los dispositivos Google Pixel reciben actualizaciones de seguridad de inmediato, otros fabricantes pueden experimentar retrasos debido a las pruebas adicionales requeridas para garantizar que los parches de seguridad sean compatibles con varias configuraciones de hardware.

Por lo tanto, se aconseja encarecidamente a los usuarios de Android que instalen los niveles de parches de seguridad 2025-02-01 y 2025-02-05 lo antes posible para proteger sus dispositivos y a sí mismos de amenazas de seguridad importantes.