Boletín de seguridad de Android: noviembre de 2024
El boletín de Android, relativo a noviembre de 2024, soluciona una vulnerabilidad de severidad crítica y múltiples altas que afectan a su sistema operativo, así como múltiples componentes, que podrían provocar una escalada de privilegios, una ejecución remota de código, una divulgación de información o una denegación de servicio.
- Android Open Source Project (AOSP): versiones 12, 12L, 13, 14 y 15 (framework y system).
- Actualizaciones del sistema Google Play.
- Componentes de Kernel, Kernel LTS, Imagination Technologies, MediaTek y Qualcomm.
En caso de utilizar dispositivos Android, se debe comprobar que el fabricante haya publicado un parche de seguridad y actualizarlos.
En esta página se indica cómo verificar la versión de Android de un dispositivo y la fecha del parche de seguridad de algunos fabricantes. En caso de que siguiendo esta guía no se pueda comprobar la versión de los dispositivos o la fecha del parche de seguridad, se recomienda revisar la página del fabricante.
La vulnerabilidad de severidad crítica, detectada en componentes Qualcomm, se debe a un problema de cifrado cuando un controlador recibe un comando de cifrado de inicio de LMP en condiciones inesperadas. Se ha asignado el identificador CVE-2024-38408 para esta vulnerabilidad.
Adicionalmente, se tiene constancia de la explotación activa, pero limitada, de 2 vulnerabilidades de severidad alta:
- En los componentes Qualcom se ha corregido una vulnerabilidad de uso de memoria después de la liberación en el servicio del procesador de señales digitales (DSP), que podría provocar corrupción de memoria mientras se mantienen los mapas de memoria del sistema operativo de alto nivel (HLOS). Se ha asignado el identificador CVE-2024-43047 para esta vulnerabilidad.
- En el framework del sistema operativo se ha solucionado una vulnerabilidad de escalada de privilegios que podría dar lugar a un acceso no autorizado a los directorios "Android/data", "Android/obb" y "Android/sandbox" y sus subdirectorios. Se ha asignado el identificador CVE-2024-43093 para esta vulnerabilidad.
El resto de identificadores CVE pueden consultarse en las referencias.
