CVE-2021-0920

Суть уязвимости

Уязвимость (race condition) в подсистеме io_uring ядра Android. Злоумышленник может создать специальное приложение, которое, используя состояние гонки, вызовет освобождение памяти (free) для объекта io_uring, но продолжит обращаться к нему (use-after-free). Это может привести к выполнению произвольного кода в контексте ядра и повышению привилегий до уровня root.

Как исправить

Уязвимость исправлена в исходном коде ядра Linux. Для Android необходимо установить обновление безопасности, содержащее исправленное ядро.

1. Проверьте текущий уровень обновлений безопасности Android: bash adb shell getprop ro.build.version.security_patch

   • Пример вывода: 2021-11-05

2. Установите обновление безопасности, датированное не ранее октября 2021 года. Конкретные версии зависят от производителя устройства и версии Android. Исправление было включено в:

   • Исходный код ядра Linux: начиная с версии 5.14-rc4.
   • Android Security Bulletin: начиная с выпуска за ноябрь 2021 года.
   • Обновления от производителей (OEM): Samsung, Google Pixel, Xiaomi и другие выпустили патчи в своих обновлениях за ноябрь-декабрь 2021 года.

3. Действия для системного администратора предприятия (управляемый парк устройств):

   • Для устройств Android Enterprise или под управлением MDM/EMM (например, VMware Workspace ONE, Microsoft Intune) разверните политику обновления системы, требующую установки уровня безопасности за ноябрь 2021 года (2021-11-05) или новее.
   • В политике MDM принудительно выполните проверку обновлений и их установку на всех уязвимых устройствах.

Временное решение

Если немедленная установка обновления невозможна, рассмотрите следующие меры:

1. Ограничение установки приложений:

   • Настройте политику MDM/EMM на запрет установки приложений из неизвестных источников (Side-loading).
   • Ограничьте доступ в Google Play Store только доверенными, проверенными приложениями из корпоративного каталога.

2. Сегментация сети:

   • Изолируйте уязвимые устройства Android в отдельном сегменте сети с ограниченным доступом к критическим корпоративным ресурсам.

3. Мониторинг и обнаружение:

   • Включите и настройте мониторинг событий безопасности на устройствах (через MDM) или на уровне сети (NDR) на предмет аномальной активности, связанной с попытками повышения привилегий.
   • Используйте мобильные решения класса EDR/XDR для обнаружения подозрительного поведения приложений.

Важно: Временные меры не устраняют уязвимость. Приоритетной задачей должна оставаться установка официального обновления безопасности от производителя устройства.