Google tiene lanzó los detalles en torno al parche de seguridad del 2 de abril para Android, mitigando por completo los problemas descritos en un boletín hace varias semanas, así como una gran cantidad u otros problemas críticos y moderados. Este es un poco diferente de los boletines anteriores, con especial atención a una vulnerabilidad de escalada de privilegios en las versiones 3.4, 3.10 y 3.14 del kernel de Linux utilizado en Android. Lo discutiremos más adelante en la página. Mientras tanto, aquí está el desglose de lo que necesita saber sobre el parche de este mes.
Las imágenes de firmware actualizadas ahora están disponibles para los dispositivos Nexus actualmente compatibles en el Sitio para desarrolladores de Google. El Proyecto de código abierto de Android tiene estos cambios implementados en las sucursales relevantes ahora, y todo estará completo y sincronizado dentro de las 48 horas. Las actualizaciones inalámbricas están en curso para los teléfonos y tabletas Nexus actualmente compatibles, y seguirán el procedimiento de implementación estándar de Google: puede llevar una semana o dos llegar a su Nexus. Todos los socios, es decir, las personas que crearon su teléfono, independientemente de la marca, han tenido acceso a estas correcciones a partir del 16 de marzo de 2016, y anunciarán y parchearán los dispositivos por su cuenta. horarios.
Verizon ofrece Pixel 4a por solo $ 10 / mes en nuevas líneas ilimitadas
El problema más grave abordado es una vulnerabilidad que podría permitir la ejecución remota de código al procesar archivos multimedia. Estos archivos se pueden enviar a su teléfono por cualquier medio: correo electrónico, MMS de navegación web o mensajería instantánea. Otros problemas críticos parcheados son específicos del cliente DHCP, el módulo de rendimiento de Qualcomm y el controlador de RF. Estos exploits podrían permitir la ejecución de código que comprometa permanentemente el firmware del dispositivo, lo que obliga al usuario final a tener que volver a actualizar el sistema operativo completo, si y las mitigaciones de servicio están deshabilitadas para las propuestas de desarrollo ". Eso es un lenguaje de nerds de seguridad para permitir que se instalen aplicaciones de fuentes desconocidas y / o permitir que OEM desbloqueo.
Otras vulnerabilidades parcheadas también incluyen métodos para evitar la protección de restablecimiento de fábrica, problemas que podrían ser explotado para permitir ataques de denegación de servicio y problemas que permitan la ejecución de código en dispositivos con raíz. Los profesionales de TI también estarán felices de ver problemas de correo y ActiveSync que podrían permitir el acceso a información "sensible" parcheada en esta actualización.
Como siempre, Google también nos recuerda que no ha habido informes de usuarios afectados por estos problemas. y tienen un procedimiento recomendado para ayudar a evitar que los dispositivos sean víctimas de estos y futuros cuestiones:
- La explotación de muchos problemas en Android se ve dificultada por las mejoras en las versiones más recientes de la plataforma Android. Recomendamos a todos los usuarios que se actualicen a la última versión de Android siempre que sea posible.
- El equipo de seguridad de Android está monitoreando activamente el abuso con Verify Apps y SafetyNet, que advertirán al usuario sobre aplicaciones potencialmente dañinas detectadas a punto de instalarse. Las herramientas de root de dispositivos están prohibidas en Google Play. Para proteger a los usuarios que instalan aplicaciones desde fuera de Google Play, Verify Apps está habilitado de forma predeterminada y advertirá a los usuarios sobre aplicaciones de root conocidas. Verify Apps intenta identificar y bloquear la instalación de aplicaciones maliciosas conocidas que aprovechan una vulnerabilidad de escalada de privilegios. Si ya se ha instalado una aplicación de este tipo, Verify Apps notificará al usuario e intentará eliminar dichas aplicaciones.
- Según corresponda, las aplicaciones de Google Hangouts y Messenger no pasan automáticamente los medios a procesos como mediaserver.
Respecto a las cuestiones mencionadas en el boletín anterior
El 18 de marzo de 2016, Google emitió un boletín de seguridad complementario separado sobre problemas en el kernel de Linux que se usa en muchos teléfonos y tabletas con Android. Se demostró que un exploit en las versiones 3.4, 3.10 y 3.14 del kernel de Linux utilizado en Android permitía que los dispositivos se comprometidos (rooteados, en otras palabras) y los teléfonos y otros dispositivos afectados requerirían una actualización del sistema operativo para recuperarse. Debido a que una aplicación pudo demostrar este exploit, se lanzó un boletín a mitad de mes. Google también mencionó que los dispositivos Nexus recibirían un parche "dentro de unos días". Ese parche nunca se materializó y Google no menciona por qué en el último boletín de seguridad.
El problema, CVE-2015-1805, se corrigió por completo en la actualización de seguridad del 2 de abril de 2016. Las ramas de AOSP para las versiones de Android 4.4.4, 5.0.2, 5.1.1, 6.0 y 6.0.1 han recibido este parche y el lanzamiento a la fuente está en curso.
Google también menciona que los dispositivos que pueden haber recibido un parche con fecha del 1 de abril de 2016 no han sido parcheados. contra este exploit en particular, y solo los dispositivos Android con un nivel de parche con fecha del 2 de abril de 2016 o posterior Actual.
La actualización enviada al Verizon Galaxy S6 y Galaxy S6 edge tiene fecha del 2 de abril de 2016 y hace contienen estas correcciones.
La actualización enviada al T-Mobile Galaxy S7 y Galaxy S7 edge tiene fecha del 2 de abril de 2016 y hace contienen estas correcciones.
La compilación AAE298 para teléfonos BlackBerry Priv desbloqueados tiene fecha del 2 de abril de 2016 y hace contienen estas correcciones. Fue lanzado a fines de marzo de 2016.
Los teléfonos que ejecutan una versión del kernel 3.18 no se ven afectados por este problema en particular, pero aún requieren los parches para otros problemas abordados en el parche del 2 de abril de 2016.
¿Has escuchado el podcast central de Android de esta semana?
Cada semana, el Android Central Podcast le ofrece las últimas noticias tecnológicas, análisis y tomas calientes, con coanfitriones familiares e invitados especiales.
- Suscríbete en Pocket Casts: Audio
- Suscríbete en Spotify: Audio
- Suscríbete en iTunes: Audio
Podemos ganar una comisión por compras usando nuestros enlaces. Aprende más.
Estos son los mejores auriculares inalámbricos que puede comprar a cualquier precio.
Los mejores auriculares inalámbricos son cómodos, suenan muy bien, no cuestan demasiado y caben fácilmente en un bolsillo.
Todo lo que necesita saber sobre la PS5: fecha de lanzamiento, precio y más.
Sony ha confirmado oficialmente que está funcionando en PlayStation 5. Aquí está todo lo que sabemos hasta ahora.
Nokia lanza dos nuevos teléfonos Android One económicos por menos de $ 200.
Nokia 2.4 y Nokia 3.4 son las últimas incorporaciones a la línea de teléfonos inteligentes económicos de HMD Global. Dado que ambos son dispositivos Android One, se garantiza que recibirán dos actualizaciones importantes del sistema operativo y actualizaciones de seguridad periódicas durante un máximo de tres años.
Asegure su hogar con estos timbres y cerraduras SmartThings.
Una de las mejores cosas de SmartThings es que puede usar una gran cantidad de otros dispositivos de terceros en su sistema, timbres y cerraduras incluidos. Dado que todos comparten esencialmente el mismo soporte de SmartThings, nos hemos centrado en qué dispositivos tienen las mejores especificaciones y trucos para justificar su adición a su arsenal de SmartThings.