CVE-2020-11261

Falha de corrupção de memória no driver de GPU (kernel) de diversos chipsets Snapdragon, causada por validação inadequada quando uma aplicação em espaço de usuário solicita alocação de memória de tamanho absurdamente grande. Está no catálogo KEV da CISA com exploração confirmada em ambiente real, e é amplamente associada a cadeias de exploração de spyware comercial usadas para comprometer dispositivos Android — por isso importa mais do que o CVSS 7.8 sozinho sugere: é peça de escalonamento de privilégio local em cadeias completas de comprometimento de dispositivo.

O CWE associado é CWE-20 (Improper Input Validation). O problema ocorre no caminho de alocação de memória do driver gráfico do kernel Qualcomm: quando uma aplicação de espaço de usuário pede uma alocação de tamanho de buffer muito grande, o driver não verifica corretamente essa condição e não retorna erro como deveria. Isso permite que o cálculo de tamanho ou a operação subsequente de alocação/cópia corrompa memória do kernel em vez de falhar de forma segura.

O atacante controla o parâmetro de tamanho enviado via ioctl (ou interface equivalente) do driver de GPU exposto ao espaço de usuário. Como a falha reside no kernel/driver, a corrupção de memória resultante ocorre em contexto privilegiado, o que é a base para escalonamento de privilégio a partir de um processo comum no dispositivo.

O vetor CVSS (AV:L/AC:L/PR:L/UI:N) reflete exatamente isso: ataque local, baixa complexidade, mas exige privilégio baixo prévio (ou seja, já ser um processo executando no dispositivo, tipicamente um app instalado) — não é uma falha explorável remotamente sem essa execução de código prévia no aparelho.

A exploração real exige que o atacante já tenha código rodando no dispositivo com privilégios de app comum — geralmente via um aplicativo malicioso instalado, um exploit de navegador que já obteve execução de código em sandbox, ou outra etapa inicial de comprometimento. A partir daí, o processo invoca a interface do driver de GPU do kernel solicitando uma alocação de tamanho malformado, o que desencadeia a corrupção de memória e permite escapar da sandbox do app ou elevar privilégios até o kernel.

A presença no catálogo KEV da CISA confirma exploração ativa documentada, tipicamente em campanhas de spyware comercial de nível avançado (nation-state ou fornecedores de vigilância), que encadeiam esta falha com uma vulnerabilidade de entrada (browser, mensageria) para atingir controle total do dispositivo Android. Não há indicação de exploração massiva ou automatizada em escala — o padrão observado é uso direcionado contra alvos específicos.

O impacto final, dado o vetor C:H/I:H/A:H, é comprometimento total: confidencialidade, integridade e disponibilidade do sistema, consistente com escalonamento de privilégio até kernel e controle completo do dispositivo.

A correção definitiva é aplicar as atualizações de firmware/kernel do fabricante do dispositivo (OEM) que incorporam o patch do driver de GPU da Qualcomm publicado no boletim de janeiro de 2021. A Qualcomm distribui a correção para os fabricantes de dispositivos (OEMs), que por sua vez precisam empacotá-la em atualizações de firmware Android — o calendário real de disponibilidade depende de cada fabricante, não da Qualcomm diretamente.

A CISA, no KEV, orienta apenas "aplicar atualizações conforme instruções do fornecedor", sem detalhar builds específicas — não há lista pública granular de números de versão de chipset ou de patch level do Android corrigido nas fontes consultadas aqui, então não é seguro afirmar uma faixa exata sem consultar o boletim completo da Qualcomm e o security bulletin do Android correspondente.

Como paliativo, não existe controle compensatório eficaz no nível de rede (a falha é local, não passa por tráfego de rede), então filtragem de firewall ou WAF não mitiga nada aqui. A única mitigação real além do patch é reduzir a superfície de ataque prévia: restringir instalação de apps de fontes não confiáveis e manter o navegador/apps de mensageria atualizados, já que a exploração desta CVE depende de uma etapa anterior de execução de código no dispositivo.

Não há assinatura de rede aplicável, já que a exploração ocorre localmente via chamadas ao driver de kernel (não há tráfego de rede diagnosticável). Em nível de dispositivo, sinais possíveis incluem crashes ou reinícios inesperados do subsistema de GPU/kernel, entradas de log de kernel (dmesg/kernel log) relacionadas a falhas de alocação de memória no driver gráfico, e presença de aplicativos suspeitos com permissões elevadas ou comportamento anômalo de acesso a interfaces de driver — mas nenhum desses sinais é definitivo por si só; análise forense de memória e do binário do app suspeito costuma ser necessária para confirmar exploração desta CVE especificamente.