Patchday: Angreifer attackieren Android 13 und 14 mit Schadcode
Angreifer können Androidgeräte über mehrere Sicherheitslücken attackieren. Eine Schadcode-Schwachstelle nutzen Angreifer bereits aus.
Sicherheitslücken bedrohen Android-Smartphones.
(Bild: Erstellt mit KI in Bing Designer durch heise online / dmk)
Googles Android-Betriebssystem ist in den Versionen 13, 14 und 15 aufgrund enthaltener Schwachstellen attackierbar. Angreifer können sich dadurch unter anderem höhere Nutzerrechte verschaffen. Im schlimmsten Fall kann Schadcode auf Geräte gelangen und diese vollständig kompromittieren.
In einem Beitrag stufen die Android-Entwickler eine Systemlücke (, Risiko "hoch") in Android 13 und 14 am gefährlichsten ein. Daran sollen Angreifer ohne bestimmte Nutzerrechte auf einem nicht näher ausgeführten Weg ansetzen können, um Schadcode auszuführen. Dafür sei keine Benutzerinteraktion nötig. Diese Schwachstelle nutzen Angreifer derzeit bereits aus. In welchem Umfang die Attacken ablaufen, ist derzeit unklar. Google spricht von begrenzten und gezielten Angriffen.
Darüber hinaus ist das System noch über weitere Schwachstellen angreifbar und bösartige Akteure können sich höhere Rechte aneignen (etwa CVE-2025-26420, Risiko "hoch") oder auf eigentlich abgeschottete Informationen zugreifen (CVE-2025-35657, "hoch"). Auch an dieser Stelle ist derzeit unklar, wie solche Angriffe im Detail ablaufen könnten.
Noch mehr Gefahren
Sicherheitspatches schließen außerdem mehrere Lücken im Framework. Zusätzlich wurden Google-Play-Komponenten abgesichert. Außerdem haben verschiedene Komponenten von Arm, Imagination Technologies, MediaTek und Qalcomm Sicherheitsupdates bekommen. Darunter ist unter anderem eine Kernel-Lücke (CVE-2025-45580, "hoch").
Videos by heise
Für im Support befindliche Geräte gibt es nun die Patch Levels 2025-05-01 und 2025-05-05, in denen die Entwickler die Sicherheitslücken geschlossen haben. Neben Google stellen auch etwa LG und Samsung für ausgewählte Geräte monatlich Sicherheitsupdates zum Download bereit (siehe Kasten).
Die Lücke CVE-2025-27363 wird bereits ausgenutzt. Meldung entsprechend angepasst.
(des)
