Google verteilt Sicherheitsupdate an Nexus-Geräte mit Android 6.0.1

Google hat mit der Verteilung des jüngsten Android-Sicherheitsupdates an qualifizierte Nexus-Geräte begonnen. Die Modelle Nexus 6P, Nexus 5X, Nexus 6, Nexus 5 und Nexus 7 (2013) werden damit auf Android 6.0.1 Marshmallow mit der Build-Nummer MMB29Q aktualisiert. Das Google-Tablet Pixel C (Build MXB48T), das Nexus 9 (Build MMB29R) und der Nexus Player (MMB29U) erhalten das Februar-Update ebenfalls Over the Air (OTA). Überraschenderweise stellt Google zudem ein Update für das drei Jahre alte Nexus 10 mit Android 5.1.1 bereit (Build LMY49G).

Wer nicht auf das OTA-Update warten möchte, kann auch die neuesten Factory Images von der Google-Developer-Website herunterladen und die Aktualisierung manuell durchführen. Dadurch gehen normalerweise jedoch alle auf dem Gerät gespeicherten Informationen verloren. Nutzer sollten zuvor also unbedingt ihre persönlichen Daten wie Fotos und Downloads sichern.

Für die Installation eines Factory Image müssen die Komponenten adb und fastboot aus dem Android-SDK installiert sowie der USB-Debug-Modus auf dem Gerät aktiviert werden. Für den Zugriff auf das Smartphone oder Tablet ist unter Windows zudem die Installation des USB-ADB-Treibers nötig. Der ZDNet-Artikel „Nexus 4, 5 und 7: Android 5.0 Lollipop installieren“ liefert eine detaillierte Anleitung, die sich auch für Android 6.0.1 anwenden lässt. Sie beschreibt die Installation eines Factory Image mit Hilfe des Skripts Flash-all.bat. Wer die von Google veröffentlichten Systemabbilder verwendet, erhält übrigens auch künftig OTA-Updates auf neue Versionen.

Wie Google in einer Sicherheitsmeldung erläutert, schließt das Februar-Update insgesamt 13 Lücken. Sieben davon sind als kritisch eingestuft, weil sie das Ausführen von Schadecode aus der Ferne oder das Ausweiten von Nutzerrechten erlauben. Die schwerwiegendste Schwachstelle kann ein Angreifer ausnutzen, indem er den Anwender dazu bringt, eine via E-Mail, MMS oder Website verbreitete manipulierte Mediendatei abzuspielen. Ein kritisches Leck im Broadcom-WLAN-Treiber ermöglicht Remotecodeausführung auf einem anfälligen Gerät, wenn es im selben Netzwerk angemeldet ist wie der Angreifer.

Von vier der übrigen sechs Sicherheitslücken geht laut Google ein „hohes“ Risiko aus. Sie erlauben teilweise ebenfalls eine Rechteausweitung sowie Denial of Service und das Ausspähen von Informationen. Betroffen sind die Komponenten Minikin, WLAN, Mediaserver und libmediaplayerservice. Die zwei restlichen Schwachstellen stuft Google als „moderat“ ein. Sie stecken im Setup Wizard und können wiederum zum Ausweiten von Rechten missbraucht werden.

Google liegen nach eigenen Angaben bisher keine Hinweise vor, dass die genannten Schwachstellen bereits aktiv ausgenutzt wurden. Zugleich empfiehlt es Anwendern, das jüngste Android-Update zu installieren, sobald es auf ihrem Gerät verfügbar wird.

Als Entdecker der jetzt geschlossenen Sicherheitslücken nennt Google sein eigenes Android- und Chrome-Security-Team (CVE-2016-0807, CVE-2016-0809, CVE-2016-0810), das Broadcom-Team (CVE-2016-0801, CVE-2015-0802), David Riley vom Pixel-C-Team (CVE-2016-0812), Dongkwan Kim und Hongil Kim vom System Security Lab der südkoreanischen Universität KAIST in Daejeon (CVE-2015-6614), Gengjia Chen von Qihoo 360 Technology (CVE-2016-0805), Qidan He von Tencent (CVE-2016-0811), Seven Shen von Trend Micro (CVE-2016-0803) und Weichao Sun von Alibaba (CVE-2016-0808).

Tipp: Sind Sie ein Android-Kenner? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de