Google schließt 50 Sicherheitslücken in Android

Google hat das Android Security Bulletin für Oktober veröffentlicht. Es listet 50 Sicherheitslücken, die zum Teil auch als kritisch bewertet sind. Darüber hinaus beseitigen die Entwickler mehrere Bugs, die Googles eigene Pixel-Smartphones betreffen.

Die Sicherheitspatch-Ebene 1. Oktober beinhaltet Fixes für Anfälligkeiten in den OS-Komponenten Android Runtime, Framework, Media Framework, System sowie ein Systemupdate für Google Play. Dadurch werden 22 Löcher gestopft, von denen maximal ein hohes Risiko ausgeht. Betroffen sind die Android-Versionen 8.x, 9, 10 und 11.

Die Schwachstellen erlauben unter anderem eine nicht autorisierte Ausweitung von Benutzerrechten sowie den Diebstahl vertraulicher Informationen. Das Einschleusen und Ausführen von Schadcode ist indes nicht möglich.

Patches für Fehler im Kernel sowie Komponenten von MediaTek und Qualcomm erhalten Nutzer mit der Sicherheitspatch-Ebene 5. Oktober. Darunter sind auch sechs kritische Bugs in Cloud-Source-Komponenten von Qualcomm. Zu Details dieser Anfälligkeiten macht Google keine Angaben – in der Regel sollten sie das Betriebssystem aber anfällig für eine Remotecodeausführung machen.

Das Pixel-Bulletin für den Monat Oktober enthält keine sicherheitsrelevanten Details. Stattdessen erhalten Nutzer diesen Monat nur Fehlerkorrekturen für Pixel 2, 2 XL, 3, 3XL, 3a, 3a XL, 4, 4 XL und 4a. Unter anderem sollen Probleme bei der automatischen Ausrichtung des Bildschirms und der automatischen Helligkeitssteuerung der Vergangenheit angehören. Google bietet aber auch einen Fix an, der dafür sorgen soll, dass die Pixel-Smartphone korrekt starten.

Die Details zu den geschlossenen Sicherheitslücken stehen Googles Android-Partnern seit mindestens 30 Tagen zur Verfügung. Sie entwickeln daraus mehr oder weniger zeitnah eigene Updates. Eine Vorreiterrolle übernimmt seit einigen Monaten Samsung, das zum Teil schon vor Google mit der Verteilung seiner Patches beginnt.

Seit gestern stehen hierzulande bereits Aktualisierungen für die Smartphones S10 und S20 zur Verfügung. Sie stopfen 41 Sicherheitslöcher, von denen fünf als kritisch eingestuft sind. Sie heben die Sicherheitspatch-Ebene auf den 1. Oktober an und beinhalten somit auch die Fixes der Sicherheitspatch-Ebene 5. September.

Samsung behebt aber auch zehn sicherheitsrelevante Fehler in seiner eigenen Software. Darunter ist ein kritischer Bug in Exynos Modem Chipsets, der einen Pufferüberlauf und als Folge eine Remotecodeausführung auslösen kann. Ein weiterer Patch soll verhindern, dass Debugging-Befehle auf Inhalte des Sicheren Ordners zugreifen.

Google, Samsung und andere Anbieter verteilen ihre Updates Over-the-Air. Je nach Hersteller sowie Gerät kann es jedoch Wochen oder gar Monate dauern, bis die Patches bei Nutzern ankommen.