Angriffe auf ältere Android-Geräte: Lücke in Mali-GPU nur teilweise geschlossen
Aufgrund mehrerer Schwachstellen im Treiber der Grafikeinheit Mali sind unter anderem Smartphone-Modelle von Samsung und Xiaomi verwundbar.
(Bild: iHaMoo/Shutterstock.com)
Verschiedene GPUs der Mali-Serie von ARM weisen mehrere Sicherheitslücken auf. Eine Schwachstelle nutzen Angreifer derzeit aus. Davon sind verschiedene Android-Geräte betroffen. Sicherheitsupdates gibt es aber nicht für alle Modelle.
Bedrohte Geräte
Wie ARM in einer Sicherheitsmeldung aufführt, sind von den Lücken jeweils verschiedene Kernel-Treiberversionen der Grafikeinheiten Midgard (2013), Bifrost (2016) und Valhall (2019) betroffen. Letztere kommt etwa im Motorola Edge 40, OnePlus Nord 2, Samsung Galaxy S20 und Xiaomi Redmi K30/K40 zum Einsatz. Außerdem sind noch einige Treiberversionen der fünften Mali-Generation betroffen. Die konkret verwundbaren Ausgaben listet ARM in seinem Beitrag auf.
Der Bedrohungsgrad der derzeit ausgenutzten Lücke (CVE-2023-4211) ist noch nicht eingestuft. ARM spricht in diesem Kontext von möglicherweise begrenzten und gezielten Attacken. Der Beschreibung der Schwachstelle zufolge können Angreifer ohne Authentifizierung auf bestimmte Speicherbereiche zugreifen. Das klingt nach einer Speicherfehler-Attacke, über die Angreifer in der Regel Schadcode ausführen können. Auf die Lücke sind Sicherheitsforscher von Googles Project Zero gestoßen.
Darüber hinaus haben die Entwickler noch zwei weitere Sicherheitslücken (CVE-2023-33200, CVE-2023-34970) geschlossen. Auch hier sind unbefugte Speicherzugriffe möglich. Für alle Attacken benötigt ein Angreifer lokalen Zugriff. Das kann etwa über eine mit Schadcode präparierte App aus einem Drittanbieter-App-Store gegeben sein.
(Fehlende) Updates
ARM gibt an, die Sicherheitsprobleme in den Treiberversionen r43p0, r44p1 und r45p0 gelöst zu haben. Da der Support für die Midgard-GPU mittlerweile ausgelaufen ist, bekommen damit ausgestattet Geräte keine Sicherheitsupdates mehr und sie bleiben verwundbar.
Den Entwicklern zufolge sind die Sicherheitsupdates bereits seit März 2023 verfügbar. Welche Hersteller von Android-Geräten sie bereits in ihre Firmwares aufgenommen haben, ist derzeit nicht bekannt. Unklar bleibt auch, welche Geräte die Updates überhaupt bekommen. Weitere Details dazu könnten im für Oktober anstehenden Android-Patchday veröffentlicht werden.
(des)
