Google ออกแพตช์แก้ไขช่องโหว่ Zero-day ของ Android

Last updated: 9 Apr 2025

265 Views

สรุปข้อมูล

พบช่องโหว่ Zero-day สองรายการ ได้แก่ CVE-2024-53197 ใน Linux Kernel และ CVE-2024-53150 ใน Android Kernel ซึ่งส่งผลกระทบต่ออุปกรณ์ที่ใช้งานระบบปฏิบัติการ Android ช่องโหว่เหล่านี้ทำให้แฮกเกอร์สามารถยกระดับสิทธิ์ หรือเข้าถึงข้อมูลที่สำคัญบนอุปกรณ์ Android ได้ ณ ปัจจุบันนี้ทาง Google ได้ออกแพตช์ความปลอดภัยเพื่อแก้ไขช่องโหว่ดังกล่าวเรียบร้อยแล้ว

รายละเอียดช่องโหว่

CVE-2024-53197 (คะแนน CVSS 7.8/10 ระดับความรุนแรง High) เป็นช่องโหว่ประเภท Out-of-bounds Write (CWE-787) ใน USB-audio Driver ของ Linux Kernel สำหรับอุปกรณ์ ALSA โดยเกิดจากอุปกรณ์ทำการส่งค่า "bNumConfigurations ที่สูงเกินค่า Initial ใน "usb_get_configuration" สำหรับการ Allocate หน่วยความจำ "dev->config" ที่เก็บข้อมูลของแต่ละ Configuration ที่อุปกรณ์เอาเข้ามา
CVE-2024-53150 (คะแนน CVSS 7.8/10 ระดับความรุนแรง High) เป็นช่องโหว่ประเภท Out-of-bounds Read (CWE-125) สาเหตุเกิดจากใน USB-audio Driver ไม่มีการตรวจสอบค่า "bLength" ของในแต่ละ Descriptor ขณะทำ Clock Descriptors ดังนั้นหากอุปกรณ์ส่ง Descriptor ที่มี "bLength" สั้นกว่าปกติ Driver อาจเกิดการ Out-of-bounds Read ได้

ผลกระทบจากช่องโหว่

จากช่องโหว่ CVE-2024-53197 และ CVE-2024-53150 ส่งผลให้แฮกเกอร์สามารถนำไปใช้ในการโจมตี เช่น การเข้าถึงอุปกรณ์ของเหยื่อโดยไม่ได้รับอนุญาต การใช้ยกระดับสิทธิ์เป็นสิทธิ์ Root ในระบบซึ่งอาจส่งผลให้แฮกเกอร์ควบคุมอุปกรณ์ของเหยื่อ รวมไปถึงการเข้าถึงข้อมูลที่สำคัญบนอุปกรณ์ได้

คำแนะนำ