Patchday: Kritische Kernel-Lücken bedrohen Android
Google stellt gegen mögliche Attacken abgesicherte Android-Versionen 10, 11, 12, 12L und 13 zum Download bereit. Angreifer können sich Nutzerrechte verschaffen.
(Bild: heise online)
Durch das erfolgreiche Ausnutzen von mehreren Sicherheitslücken könnten sich Angreifer auf Android-Geräten höhere Nutzerrechte verschaffen. Es sind aber auch Schadcode-Attacken auf Kernel-Ebene vorstellbar.
In einer Warnmeldung geben die Entwickler an, dass die Patchlevel 2023-01-01 und 2023-01-05 aktuell sind. Das Patchlevel kann man in den Android-Einstellungen prüfen. Neben Google versorgen auch etwa LG und Samsung bestimmte Geräte monatlich mit Sicherheitsupdates (siehe Kasten). Leider bekommen aber immer noch unzählige Smartphones und Tablets auf Android-Basis keine regelmäßigen Patches oder sogar gar keine.
Viele geschlossenen Schwachstellen
Am gefährlichsten stuft Google eine Framework-Lücke ein. Setzen Angreifer dort erfolgreich an, könnten sie mit höheren Nutzerrechten dastehen. Attacken sollen ohne zusätzliche Ausführungsberechtigungen möglich sein. Weitere Details sind bislang nicht bekannt. Hier gilt der Bedrohungsgrad "hoch".
Die meisten Lücken betreffen das Framework von Android 10, 11, 12, 12L und 13. Außerdem sind Attacken auf Systemebene über Bluetooth Low Energy (BLE) vorstellbar. "Kritische" Schwachstellen betreffen den Kernel. An dieser Stelle könnten Angreifer beispielsweise an WLAN-Komponenten ansetzen und Schadcode auf Geräten ausführen.
Weiterhin sind noch verschiedene Komponenten von unter anderem MediaTek und Imagination Technologies verwundbar.
Extra-Patches
Geräte der Pixel-Serie bekommen diesen Monat mehrere zusätzliche Sicherheitsupdates serviert. Hier könnten Angreifer etwa an einer Lücke (CVE-2023-20924) am Fingerabdrucksensor vom Pixel 6a ansetzen, um sich höhere Rechte zu verschaffen. Des Weiteren gibt es Sicherheitspatches für verschiedene Qualcomm-Komponenten.
(des)
