Dispositivos Android con GPU Mali siguen siendo vulnerables a fallos identificados por ARM

Google ha revelado que algunos de los teléfonos Android que utilizan la GPU Mali contienen vulnerabilidades en la seguridad del sistema porque fabricantes como Samsung, Xiaomi, Oppo y el propio Google, no han implementado parches para corregir los fallos que ya fueron resueltos por ARM (compañía que diseña las GPU) en julio y agosto.

Esta serie de vulnerabilidades podrían dar pie a que un atacante “con ejecución de código nativo en el contexto de una aplicación” pueda obtener acceso total al sistema sorteando el modelo de permisos de Android y, por tanto, permitiendo un amplio acceso a los datos del usuario.

Según ha explicado el equipo de analistas de seguridad de Google, Project Zero, el pasado mes de junio descubrieron una serie de vulnerabilidades (CVE-2022-36449) en el controlador de GPU Mali de ARM, utilizado por una gran cantidad de dispositivos Android.

Este equipo comunicó los problemas a ARM, que procedió a resolverlos durante los meses de julio y agosto, y publicó la fuente del controlador parcheado en su sitio web para desarrolladores.

Sin embargo, tal y como han expuesto en Project Zero, los analistas han descubierto que todos sus dispositivos de prueba que usaban Mali aún son vulnerables a estos problemas, y que, además, estos fallos no se mencionan en ningún boletín de seguridad posterior.

En concreto, Project Zero identificó cinco problemas relativos al controlador de GPU Mali. “Uno de estos problemas condujo a la corrupción de la memoria del núcleo, otro condujo a que las direcciones de memoria física se divulgasen al espacio de usuario y los tres restantes condujeron a una condición de uso después de la liberación de la página física”, ha indicado el analista de Project Zero, Ian Beer.

Así, el analista de Google ha señalado que sería posible que un pirata informático tuviese control absoluto del sistema debido a que los fabricantes no han llegado a implementar los parches que resuelven estas vulnerabilidades.

Sin embargo, según ha detallado SamMobile, de entre todos los teléfonos Android afectados, los dispositivos Samsung con tecnología Snapdragon o la serie Galaxy S22, están libres de peligro en cuanto a estos fallos de seguridad.

Dado que los dispositivos siguen siendo vulnerables a día de hoy, Ian Beer ha recomendado a los usuarios aplicar parches “lo más rápido posible” una vez que esté disponible una versión que contenga actualizaciones de seguridad. Por otra parte, se ha dirigido a las empresas alegando que deben “permanecer alerta” y “seguir de cerca las fuentes ascendentes para hacer todo lo posible y proporcionar parches completos a los usuarios cuanto antes”.