Google advierte: Fallas de día cero de Android en teléfonos Pixel explotadas por empresas forenses

Luis Quiles

abril 3, 2024

Seguridad Movil, Día Cero

Google ha revelado que dos fallos de seguridad de Android que afectan a sus teléfonos inteligentes Pixel han sido explotados en la naturaleza por empresas forenses.

Las vulnerabilidades de día cero de alta gravedad son las siguientes:

CVE-2024-29745: Una falla de divulgación de información en el componente del cargador de arranque.
CVE-2024-29748: Una falla de escalada de privilegios en el componente del firmware.

«Hay indicios de que las [vulnerabilidades] pueden estar siendo explotadas de manera limitada y dirigida», dijo Google en un aviso publicado el 2 de abril de 2024.

Si bien el gigante tecnológico no reveló otra información sobre la naturaleza de los ataques que explotan estas deficiencias, los responsables de GrapheneOS dijeron que «están siendo activamente explotados en la naturaleza por empresas forenses».

Dijeron en una serie de publicaciones en X (anteriormente Twitter) que CVE-2024-29745 se refiere a una vulnerabilidad en el firmware de fastboot utilizado para admitir desbloqueo/actualización/bloqueo,».

«Las empresas forenses están reiniciando dispositivos en el estado After First Unlock al modo fastboot en Pixels y otros dispositivos para explotar vulnerabilidades allí y luego volcar memoria.»

GrapheneOS señaló que CVE-2024-29748 podría ser utilizado como arma por atacantes locales para interrumpir un restablecimiento de fábrica activado a través de la API del administrador de dispositivos.

La revelación llega más de dos meses después de que el equipo de GrapheneOS revelara que las empresas forenses están explotando vulnerabilidades en el firmware que afectan a los teléfonos Google Pixel y Samsung Galaxy para robar datos y espiar a los usuarios cuando el dispositivo no está en reposo.

También instó a Google a introducir una función de reinicio automático para dificultar la explotación de fallas en el firmware.

Tags :