Rekord-Patchday: Google patcht über 100 Android-Lücken in zwei Schüben
Im Juli schließt Google so viele Android-Lücken wie nie zuvor. Um es den Herstellern leichter zu machen, kamen die Patches in zwei Schüben. Einige Android-Nutzer dürften bereits eine abgesicherte Version nutzen, andere müssen warten.
Der Android-Patchday im Juli hat gewaltige Ausmaße [1]: Über 100 Lücken hat Google in seinem populären Mobilbetriebssystem geschlossen – weitaus mehr als je zuvor. Rund ein Drittel davon ist kritisch, eignet sich also etwa zum Einschleusen von Schadcode aus der Ferne. Die Sicherheits-Patches kommen erstmals in zwei Schüben. Damit will Google den Geräteherstellern das Patchen erleichtern.
Die kritischen Lücken betreffen unter anderem den Mediaserver, die Krypto-Bibliotheken OpenSSL und BoringSSL sowie den USB-Treiber. Auch einige hardwarespezifische Komponenten wurden aktualisiert, etwa der WLAN-Treiber von MediaTek und etliche Module von Nvidia und Qualcomm.
Hersteller bieten abgesicherte Firmware-Images an
Google hat die Patches, die alle Geräte betreffen und somit von allen Herstellern sofort eingespielt werden können, zu dem Patch-Paket 2016-07-01 zusammengeschnürt. Die übrigen, zum Teil hardwarespezifischen Patches, befinden sich in dem Patch-Paket 2016-07-05. Google möchte es den Herstellern so leichter machen, die wichtigen Security-Patches in die Firmware zu integrieren. Es gibt somit zwei Patch-Stände, sogenannte Patch-Level. Google erklärte, dass es durchaus möglich ist, Patches aus dem zweiten Paket zu ziehen, wenn sich ein Hersteller für das erstere entscheidet.
Einige Hersteller wie Blackberry [2], LG [3] und Samsung [4] gehen mit gutem Beispiel voran bieten bereits abgesicherte Firmware-Images zur Installation an. Google hat wie gewohnt ebenfalls reagiert und bespielt seine Nexus-Geräte Over-The-Air (OTA) mit frischer Firmware. Berücksichtigt wurden Nexus 5 [5], Nexus 5X, Nexus 6 [6], Nexus 6P, Nexus 7 [7] (2013), Nexus 9 [8], Android One, Nexus Player, und Pixel C [9]. Alternativ kann man die Firmware-Images manuell herunterladen und installieren [10]. Andere Hersteller lassen sich gerne etwas länger Zeit – sofern sie denn überhaupt etwas tun. (rei [11])
URL dieses Artikels:
https://www.heise.de/-3262134
Links in diesem Artikel:
[1] https://source.android.com/security/bulletin/2016-07-01.html
[2] http://support.blackberry.com/kb/articleDetail?articleNumber=000038293
[3] https://lgsecurity.lge.com/security_updates.html
[4] http://security.samsungmobile.com/smrupdate.html#SMR-JUL-2016
[5] https://www.heise.de/news/Erster-Eindruck-Google-Nexus-5-im-Test-2039343.html
[6] https://www.heise.de/news/Nexus-6-Riesiges-High-End-Smartphone-von-Google-2425190.html
[7] https://www.heise.de/ratgeber/Googles-erstes-Tablet-im-Test-1901924.html
[8] https://www.heise.de/news/Google-Nexus-9-400-Euro-fuer-das-erste-Android-Tablet-mit-64-Bit-2425271.html
[9] https://www.heise.de/hintergrund/Google-Tablet-Pixel-C-Ein-bisschen-Notebook-3043099.html
[10] https://developers.google.com/android/nexus/images
[11] mailto:rei@heise.de
Copyright © 2016 Heise Medien