O pesquisador de segurança Zhenpeng Lin descobriu uma nova vulnerabilidade de "dia-zero" no kernel do Linux que poderia causar problemas até em aparelhos Android que receberam o patch de segurança de julho de 2022. Alguns dispositivos específicos que podem sofrer com essa desproteção seriam o Pixel 6 do Google e toda a linha de smartphones Samsung Galaxy S22.

Ao que tudo indica, essa vulnerabilidade afeta a parte do kernel do Android e abre um vetor de ataque em qualquer dispositivo Android OS que execute o kernel Linux versão 5.10. O kernel Linux normal também é afetado, de acordo com Lin.

Caso uma pessoa se aproveite disso, ela poderia ter acesso arbitrário de leitura e gravação, privilégio de root e autoridade sobre o SELinux. Isso permitiria adulterar o sistema operacional, manipular rotinas de segurança integradas, entre outras coisas.

O vetor de ataque seria uma versão generalizada mais poderosa da vulnerabilidade do Dirty Pipe.

 

The latest Google Pixel 6 pwned with a 0day in kernel! Achieved arbitrary read/write to escalate privilege and disable SELinux without hijacking control flow. The bug also affects Pixel 6 Pro, other Pixels are not affected :) pic.twitter.com/UsOI3ZbN3L

- Zhenpeng Lin (@Markak_) July 5, 2022

O lado "menos ruim" da descoberta é que essa abertura de segurança não permite execução remota de código (RCE), que pode ser explorado sem interação do usuário. Isso quer dizer que o próprio dono do dispositivo teria que instalar um aplicativo malicioso para a vulnerabilidade ser explorada.

Os detalhes não foram divulgados publicamente. Zhenpeng Lin já notificou a Google sobre esse problema no kernel Linux. O patch de segurança de julho de 2022 não corrige essa brecha, mas uma solução deve chegar com o patch de segurança de agosto ou setembro.