Google vydal svoje mesačné bezpečnostné aktualizácie pre Android, ktoré opravujú 46 bezpečnostných zraniteľností, vrátane jednej, o ktorej spoločnosť uviedla, že bola aktívne zneužívaná v praxi.
Dotknutou zraniteľnosťou je CVE-2025-27363 (s hodnotením CVSS 8,1), chyba s vysokou závažnosťou v systémovej komponente, ktorá môže viesť k lokálnemu spusteniu škodlivého kódu bez potreby ďalších oprávnení.
„Najzávažnejším z týchto problémov je chyba s vysokou bezpečnostnou závažnosťou v systémovej komponente, ktorá môže viesť k lokálnemu spusteniu kódu bez potreby ďalších oprávnení,“ uviedol Google vo svojom pondelkovom oznámení. „Nie je potrebná žiadna interakcia používateľa.“
Za pozornosť stojí, že zraniteľnosť CVE-2025-27363 má pôvod v knižnici FreeType, ktorá slúži na vykresľovanie fontov a je open-source. Facebook túto chybu prvýkrát oznámil v marci 2025 s tým, že bola aktívne zneužívaná.
Chyba bola opísaná ako „out-of-bounds write“ (zápis mimo vyhradeného pamäťového priestoru), ku ktorému dochádza pri spracovaní TrueType GX a variabilných fontov, čo môže viesť k spusteniu škodlivého kódu. Problém bol opravený vo verziách FreeType vyšších ako 2.13.0.
„Existujú náznaky, že CVE-2025-27363 je predmetom obmedzeného, cieleného zneužívania,“ uviedol Google vo svojom bezpečnostnom bulletine. Presné detaily útokov zatiaľ nie sú známe.
Májová aktualizácia od Googlu taktiež rieši ďalších 8 chýb v systéme Android a 15 chýb v module Framework, ktoré by mohli byť zneužité na eskaláciu oprávnení, únik informácií alebo spôsobenie nedostupnosti systému (DoS útok).
„Zneužitie mnohých chýb v Androide je sťažené vďaka vylepšeniam v novších verziách Androidu,“ uviedla spoločnosť. „Vyzývame všetkých používateľov, aby si systém aktualizovali na najnovšiu verziu, ak je to možné.“
Ďalšie informácie je možné nájsť na stránkach:
https://thehackernews.com/2025/05/google-fixes-actively-exploited-android.html?_m=3n%2e009a%2e3660%2eam0ao465na%2e2ot6
https://source.android.com/docs/security/bulletin/2025-05-01