Logo Cơ quan An ninh mạng và Cơ sở hạ tầng Mỹ. Ảnh Bleeping Computer.

Hai lỗ hổng được Google công bố trong đợt cập nhật bảo mật tháng 12, nằm trong tổng số hơn 100 lỗi được hãng khắc phục, nằm trong danh mục KEV bao gồm:

CVE-2025-48572 - Lỗ hổng tăng quyền đặc biệt (privilege escalation) trong Framework của Android.

Privilege escalation là kỹ thuật cho phép kẻ tấn công nâng cấp quyền truy cập từ mức thấp lên mức cao hơn (ví dụ: từ quyền ứng dụng thường lên quyền hệ thống), từ đó kiểm soát sâu hơn thiết bị.

CVE-2025-48633 - Lỗ hổng rò rỉ thông tin (information disclosure), cũng nằm trong Framework.

Information disclosure là lỗi cho phép đối tượng trái phép truy cập dữ liệu nhạy cảm mà người dùng hoặc hệ thống không hề hay biết.

Cả hai đều được Google đánh giá mức độ nghiêm trọng cao (High severity). Google không công bố chi tiết kỹ thuật, nhưng xác nhận có “dấu hiệu cho thấy hai lỗ hổng đang bị khai thác có mục tiêu, ở phạm vi hạn chế”.

Framework là lớp lõi của Android, quản lý cách ứng dụng tương tác với hệ thống. Lỗi tại lớp này thường ảnh hưởng sâu và khó phát hiện.

Hơn 100 lỗ hổng được vá, có một lỗ hổng ở mức “nghiêm trọng”

Trong cùng đợt cập nhật, Google cũng khắc phục 107 lỗ hổng thuộc nhiều thành phần khác nhau như Framework, Hệ thống (System), Kernel và các module của nhà sản xuất chip.

Một lỗi được đánh giá nghiêm trọng nhất (Critical) là:

CVE-2025-48631 - cho phép tấn công từ chối dịch vụ từ xa (remote denial of service - DoS).

DoS từ xa là hình thức khiến thiết bị bị treo, dừng hoạt động hoặc tự khởi động lại mà không yêu cầu quyền truy cập.

Google cho biết đánh giá mức độ nghiêm trọng dựa trên kịch bản xấu nhất: khi kẻ tấn công vượt qua được các lớp bảo vệ hoặc thiết bị tắt các cơ chế an toàn trong quá trình phát triển.

Khuyến cáo với người dùng Android

Việc CISA đưa hai lỗ hổng CVE-2025-48572 và CVE-2025-48633 vào danh sách KEV đồng nghĩa chúng đã bị khai thác ngoài đời thực, không chỉ tồn tại trên lý thuyết.

Các chuyên gia an ninh mạng khuyến nghị người dùng Android: cập nhật bản vá bảo mật tháng 12/2025 ngay khi có thể; các nhà sản xuất thiết bị sẽ phát hành theo lịch riêng, người dùng cần kiểm tra mục Cập nhật hệ thống.

Thiết bị đã cũ, không còn nhận bản vá nên được cân nhắc nâng cấp để tránh rủi ro.

Do đây là các lỗ hổng liên quan đến Framework, mức độ ảnh hưởng có thể lớn, đặc biệt với doanh nghiệp sử dụng thiết bị Android trong môi trường làm việc.

Hai lỗ hổng Android mới bị đưa vào danh mục KEV tiếp tục cho thấy các thiết bị di động vẫn là mục tiêu trọng điểm của các cuộc tấn công tinh vi. Khi Google xác nhận dấu hiệu khai thác có chủ đích, việc cập nhật hệ điều hành thiết bị là biện pháp quan trọng nhất để bảo vệ dữ liệu người dùng.

An Lâm (Theo Cyber Daily)