Google แก้ไขช่องโหว่ Zero-Day บน Android ที่กำลังถูกใช้ในการโจมตี และช่องโหว่อีก 60 รายการ

Google ออกแพตช์ความปลอดภัยประจำเดือนเมษายน 2025 สำหรับระบบปฏิบัติการ Android เพื่อแก้ไขช่องโหว่ทั้งหมด 62 รายการ ซึ่งรวมถึงช่องโหว่ Zero-Day 2 รายการที่กำลังถูกใช้ในการโจมตีแบบกำหนดเป้าหมาย

หนึ่งในช่องโหว่ Zero-Day ดังกล่าวคือช่องโหว่ที่มีระดับความรุนแรงสูง (CVE-2024-53197) ที่เกี่ยวข้องกับการยกระดับสิทธิ์ในไดรเวอร์ USB-audio ของ Kernel Linux สำหรับอุปกรณ์ ALSA โดยมีรายงานว่าช่องโหว่นี้ถูกใช้โดยเจ้าหน้าที่รัฐของเซอร์เบียเพื่อปลดล็อกอุปกรณ์ Android ที่ถูกยึดไว้ โดยเป็นส่วนหนึ่งของชุดการโจมตี Zero-Day ที่พัฒนาขึ้นโดยบริษัท Cellebrite ซึ่งเป็นบริษัท digital forensics จากอิสราเอล

ชุดการโจมตีนี้ ยังประกอบด้วยช่องโหว่ Zero-Day ในไดรเวอร์ USB Video Class (CVE-2024-53104) ที่ได้รับการแก้ไขในเดือนกุมภาพันธ์ และช่องโหว่ Zero-Day ในอุปกรณ์ Human Interface (CVE-2024-50302) ที่ได้รับการแก้ไขเมื่อเดือนที่แล้ว ช่องโหว่เหล่านี้ถูกพบโดยห้องปฏิบัติการด้านความปลอดภัยของ Amnesty International ในช่วงกลางปี 2024 ขณะวิเคราะห์ logs จากอุปกรณ์ที่ถูกปลดล็อกโดยตำรวจเซอร์เบีย

Google ชี้แจงกับ BleepingComputer เมื่อเดือนกุมภาพันธ์ว่า การแก้ไขช่องโหว่เหล่านี้ได้ถูกแชร์กับ OEM Partner ตั้งแต่เดือนมกราคมแล้ว

โฆษกของ Google ให้ข้อมูลกับ BleepingComputer ว่า “บริษัทรับทราบเกี่ยวกับช่องโหว่ และความเสี่ยงในการถูกโจมตีก่อนที่รายงานเหล่านี้จะถูกเปิดเผย และได้พัฒนาแพตช์สำหรับ Android อย่างรวดเร็ว โดยเราได้แชร์แพตช์กับ OEM Partner ผ่านประกาศเมื่อวันที่ 18 มกราคม”

ช่องโหว่ Zero-Day ที่สองของเดือนนี้ (CVE-2024-53150) ที่ได้รับการแก้ไข เป็นช่องโหว่การเปิดเผยข้อมูลของ Kernel Android ซึ่งเป็นช่องโหว่ out-of-bounds read โดยสามารถทำให้ผู้โจมตีที่เข้าถึงในระดับ local สามารถเข้าถึงข้อมูลที่สำคัญในอุปกรณ์ที่มีช่องโหว่ได้โดยไม่ต้องมีการโต้ตอบจากผู้ใช้

นอกจากนี้ แพตช์ความปลอดภัย Android ประจำเดือนมีนาคม 2025 ยังได้แก้ไขช่องโหว่ด้านความปลอดภัยอื่น ๆ อีก 60 รายการ ซึ่งส่วนใหญ่เป็นช่องโหว่ยกระดับสิทธิ์ที่มีระดับความรุนแรงสูง

Google ได้ออกแพตช์ความปลอดภัย 2 ชุด ได้แก่ 2025-04-01 และ 2025-04-05 security patch levels โดยชุดหลังจะรวมการแก้ไขทั้งหมดจากชุดแรก พร้อมกับแพตช์สำหรับส่วนประกอบของ third-party แบบ closed-source และ kernel subcomponents ซึ่งอาจไม่สามารถใช้ได้กับอุปกรณ์ Android ทุกรุ่น

อุปกรณ์ Google Pixel จะได้รับอัปเดตเหล่านี้ทันที ในขณะที่ผู้ผลิตรายอื่นมักใช้เวลามากกว่าในการทดสอบ และปรับแต่งแพตช์ความปลอดภัยให้เหมาะสมกับฮาร์ดแวร์เฉพาะของตน

เมื่อเดือนพฤศจิกายน 2024 Google ยังได้แก้ไขช่องโหว่ Zero-Day บน Android อีกหนึ่งรายการ (CVE-2024-43047) ซึ่งถูก Google Project Zero ระบุว่าถูกใช้โจมตีมาตั้งแต่เดือนตุลาคม 2024 โดยรัฐบาลเซอร์เบีย ในปฏิบัติการสปายแวร์ NoviSpy เพื่อเจาะเข้าถึงอุปกรณ์ Android ของนักเคลื่อนไหว นักข่าว และผู้ประท้วง

ที่มา : bleepingcomputer