Представлены обновления безопасности Android за июль 2016

Google в среду представила новые патчи для системы Android, закрыв более 100 уязвимостей в компонентах системы и драйверах для определённых процессоров разных производителей.

Компонент MediaServer, обрабатывающий видео и аудио, ранее был источником множества уязвимостей, поэтому в данном обновлении ему снова уделено большое внимание. На его долю пришлось 16 уязвимостей, включая 7 критических, которые могут позволить выполнять код с повышенными привилегиями.

Для этого нужно отправлять специально созданные файлы видео или аудио через браузер, почту или приложения обмена сообщениями. Приложения Google Hangouts и Android Messenger теперь не передают медиафайлы в этот компонент автоматически. Другая критическая уязвимость закрыта в криптобиблиотеках OpenSSL и BoringSSL, встроенных в Android. Она также может быть задействована при помощи специальных файлов.

Обновление этого месяца разделено на две части: одна для всех Android-устройств, другая для моделей с определёнными процессорами. Производители могут выбрать между обновлениями 2016-07-01 с патчами для Android в целом и 2016-07-05 с содержимым 2016-07-01 плюс патчами для конкретных устройств. В 2016-07-01 закрыто 32 уязвимости: 8 критических, 15 важных и 9 умеренных. В 2016-07-05 закрыто 75 уязвимостей: 12 критических находятся в драйвере Qualcomm GPU, MediaTek Wi-Fi, Nvidia, USB и ряде драйверов MediaTek. Эти драйверы загружаются в ядро системы, так что уязвимости в них могут дать постоянный контроль за устройством, в результате чего придётся переустанавливать Android.