Patchday Android: Kritische Lücken im System führen zu Remote Code Execution
![Patchday Android: Kritische Lücken im System führen zu Remote Code Execution](https://heise.cloudimg.io/width/700/q75.png-lossy-75.webp-lossy-75.foil1/_www-heise-de_/imgs/18/2/8/7/6/2/1/8/android1-f07861867b687ed9.png)
Wer ein Android-Gerät besitzt, sollte die Update-Funktion anwerfen: Es sind zahlreiche Sicherheitsupdates erschienen.
Smartphones und Tablets mit den Android-Versionen 8.0, 8.1, 9 und 10 sind verwundbar. Erfolgreiche Attacken könnten zu vollständig kompromittierten Geräten führen. Google und weitere Hersteller wie Samsung haben nun Sicherheitsupdates veröffentlicht.
Wer ein Android-Gerät besitzt, sollte in den Einstellungen sicherstellen, dass das Security Patch Level 2020-04-01 oder 2020-04-05 installiert ist. Letzteres Paket enthält neben den aktuellen Sicherheitsupdates auch alle älteren Patches.
Google gibt in einer Meldung zum monatlichen Patchday an [1], dass sie den Code der Sicherheitspatches zeitnah im Repository des Android Open Source Project (AOSP) veröffentlichen wollen. Andere Hersteller sollen seit mindestens einem Monat von den Sicherheitsupdates wissen. Im Kasten auf der rechten Seite findet man Links zu Websites mit Infos zu Android-Sicherheitspatches von LG, Sony & Co.
Kritische Schwachstellen
Die gefährlichsten Sicherheitslücken finden sich in diesem Monat im System. An dieser Stelle haben die Android-Entwickler vier als "kritisch" eingestufte Lücken geschlossen. Für eine erfolgreiche Attacke müssen Angreifer Opfern eine präparierte Datei unterschieben. Klappt das, könnte Schadcode Geräte verseuchen.
Noch eine kritische Lücke geht auf eine WLAN-Komponente von Qualcomm zurück. Weitere acht kritische Schwachstellen machen verschiedene, nicht näher beschrieben Closed-Source-Komponenten des Halbleiterherstellers angreifbar.
Weitere Schwachstellen finden sich im Framework, Media Framework, FPC-Komponenten und Kernel-Komponenten. Detaillierte Infos dazu findet man in der Meldung von Google [12].
Zusätzliche Pixel-Updates
Wie aus einem Beitrag von Google hervorgeht [13], bekommt die Pixel-Serie noch Extra-Sicherheitspatches. Unter anderem kümmern sich die Entwickler um einen Bug (CVE-2020-0068) im Audiotreiber.
Außerdem hat Google einen Patch für das Pixel 4 veröffentlicht [14], der verhindert, dass das Smartphone via Gesichtserkennung mit geschlossenen Augen entsperrt wird. (des [15])
URL dieses Artikels:
https://www.heise.de/-4699643
Links in diesem Artikel:
[1] https://source.android.com/security/bulletin/2020-04-01
[2] https://support.fairphone.com/hc/en-us/articles/360048139032-Fairphone-OS-releases-for-FP3-FP3-
[3] https://support.fairphone.com/hc/en-us/articles/4405858220945-Fairphone-4-OS-Release-Notes
[4] https://consumer.huawei.com/de/support/bulletin/
[5] https://lgsecurity.lge.com/bulletins/mobile#updateDetails
[6] https://support.motorola.com/us/en/softwareupgrade
[7] https://www.hmd.com/en_int/security-updates
[8] https://security.oppo.com/en/mend
[9] https://security.samsungmobile.com/securityUpdate.smsb
[10] https://xpericheck.com/
[11] https://support.google.com/pixelphone/answer/4457705#pixel_phones&nexus_devices
[12] https://source.android.com/security/bulletin/2020-04-01
[13] https://source.android.com/security/bulletin/pixel/2020-04-01
[14] https://www.heise.de/news/Pixel-4-Patch-verhindert-dass-das-Handy-im-Schlaf-entsperrt-wird-4698317.html
[15] mailto:des@heise.de
Copyright © 2020 Heise Medien