Patchday: Google sichert Android 8 bis 11 ab
Es sind wichtige Sicherheitsupdates für verschiedene Android-Versionen erschienen. Neben Google stellen auch LG, Sony & Co. Patches zur Verfügung.
Am Patchday im Oktober hat Google neben älteren Android-Versionen auch erstmals Sicherheitsupdates für die aktuelle Ausgabe 11 veröffentlicht. Keine der Lücken gilt als "kritisch".
Die Schwachstellen betreffen unter anderem Android Runtime, Framework, Kernel, System und verschiedene Komponenten von MediaTek und Qualcomm. Für den Großteil der Lücken ist der Bedrohungsgrad mit "hoch" eingestuft. In einer Warnmeldung listet Google die zugehörigen CVE-Nummern auf und zeigt auf, welche Android-Versionen von welchen Lücken betroffen sind.
Lokale und Remote-Attacken
Nutzen Angreifer die Schwachstellen erfolgreich aus, könnten sie sich höhere Nutzerrechte verschaffen oder Informationen leaken lassen. Einige Lücken können Angreifer Google zufolge nur lokal ausnutzen.
So muss beispielsweise bereits eine App mit Schadcode auf einem verwundbaren Gerät laufen, damit eine Attacke erfolgreich ist. Oder Opfer müssen eine präparierte Datei öffnen. In anderen Fällen sollen auch nicht näher beschriebene Angriffe aus der Ferne möglich sein.
Update-Verteilung
Google gibt an, Hersteller von Android-Hardware einen Monat vor der Veröffentlichung von Details zu den Lücken informiert zu haben. Neben Google veröffentlichen unter anderem auch Samsung und Nokia monatlich Sicherheitsupdates (siehe Kasten rechts). Zum jetzigen Zeitpunkt sollten die Patches bereits im Android Open Source Project (AOSP) verankert sein.
Um sicherzustellen, dass auf dem Gerät die aktuellen Sicherheitspatches installiert sind, muss man einen Abstecher in die Systemeinstellungen machen. Steht dort bei Security Patch Level 2020-10-01 oder 2020-10-05, ist das Gerät auf dem aktuellen Stand. Der Eintrag mit dem fortgeschrittenen Datum bedeutet, dass neben den aktuellen Updates auch alle vorigen installiert sind.
Damit bei der Kommunikation mit anderen Android-Herstellern keine Sicherheitsupdates durchrutschen, hat Google die Android Partner Vulnerability Initiaitve (APVI) gegründet. Weitere Infos dazu findet man in einem Blogbeitrag.
(des)
