51 lỗ hổng Android được CERT-In cảnh báo: vì sao cần cập nhật bảo mật kịp thời?

Điện thoại thông minh phục vụ cả đời sống và công việc: liên lạc, tìm kiếm thông tin, giao dịch ngân hàng hay đặt dịch vụ. Càng lưu nhiều dữ liệu cá nhân và thông tin công việc trên điện thoại, người dùng càng cần quan tâm đến bảo mật. Bài viết này nhìn lại cảnh báo năm 2023 của CERT-In, cơ quan ứng cứu sự cố máy tính của Ấn Độ, về hơn 50 lỗ hổng Android; một số lỗ hổng khi đó đã có dấu hiệu bị khai thác. Đây là nội dung lưu trữ, không phải danh sách lỗ hổng mới nhất.

Vì sao cảnh báo này đáng chú ý?

Bài viết gốc đề cập 51 lỗ hổng ảnh hưởng đến Android 11, 12, 12L và 13. Với phạm vi thiết bị rộng, cảnh báo đặt ra yêu cầu xử lý sớm đối với cả người dùng lẫn các đơn vị phát triển và vận hành hệ thống di động.

Mỗi lỗ hổng được gắn mã CVE để các bên có thể nhận diện, trao đổi và theo dõi cùng một vấn đề. Cách định danh thống nhất giúp đội ngũ kỹ thuật đối chiếu thông báo bảo mật với bản vá, thay vì chỉ dựa vào mô tả chung về nguy cơ.

Các thành phần bị ảnh hưởng trải rộng từ framework, hệ thống Android và các thành phần được cập nhật qua Google Play đến thành phần của Arm, MediaTek, Unisoc và Qualcomm. Vì vậy, việc khắc phục không chỉ phụ thuộc vào Google mà còn liên quan đến nhà cung cấp phần cứng và nhà sản xuất thiết bị.

Những rủi ro đối với thiết bị và dữ liệu

Tùy từng lỗ hổng và điều kiện khai thác, kẻ tấn công có thể nâng quyền, thực thi mã trái phép, truy cập thông tin nhạy cảm hoặc gây từ chối dịch vụ. Hậu quả có thể là rò rỉ dữ liệu hay gián đoạn hoạt động của điện thoại; không phải mọi lỗ hổng đều dẫn đến cùng một kiểu tấn công.

Hai mã được nhấn mạnh là CVE-2023-4863, liên quan đến thư viện xử lý ảnh WebP được sử dụng trong nhiều phần mềm, và CVE-2023-4211, liên quan đến quản lý bộ nhớ của trình điều khiển GPU Arm Mali. Cảnh báo tại thời điểm đó đề cập khả năng hai lỗ hổng này đang bị khai thác, khiến việc cập nhật càng cấp thiết.

Cập nhật bảo mật cần đến đúng thiết bị

Người dùng nên theo dõi bản cập nhật hệ thống, nhân hệ điều hành và các thành phần liên quan do nhà sản xuất cung cấp, đồng thời cài đặt bản vá phù hợp ngay khi có thể. Một bản cập nhật ứng dụng đơn lẻ không nhất thiết xử lý được lỗi nằm trong hệ thống hoặc trình điều khiển.

Ở thời điểm bài viết được đăng năm 2023, Google đã phát hành cập nhật bảo mật tháng 10 cho Pixel. Thiết bị của các hãng khác phụ thuộc vào lịch phát hành của từng nhà sản xuất. Thông tin này phản ánh bối cảnh khi đó; hiện nay, người dùng cần kiểm tra bản cập nhật mới nhất cho chính thiết bị của mình, không xem bản vá tháng 10/2023 là đủ.

Bảo mật là việc cần duy trì liên tục

Cảnh báo của CERT-In cho thấy cập nhật bảo mật không phải thao tác phụ. Theo dõi thông báo từ nguồn chính thức và duy trì thiết bị ở trạng thái được hỗ trợ là cách thiết thực để giảm rủi ro. Với doanh nghiệp, việc quản lý cập nhật cũng cần được tính đến khi điện thoại được dùng để truy cập dữ liệu và hệ thống công việc.