Kritieke Android-lekken in Nexus-toestellen gedicht

[Captain Kirk]

Tijdens de patchcyclus van november heeft Google meerdere kritieke kwetsbaarheden in de Androidversie van Nexus-toestellen gedicht, waardoor een aanvaller op afstand code op smartphones en tablets kan uitvoeren. Net als Microsoft komt ook Google elke maand met beveiligingsupdates.

Het gaat in dit geval om updates voor Nexus-toestellen. De updates van november verhelpen zeven kwetsbaarheden, waarvan er twee als kritiek zijn bestempeld. Via kritieke kwetsbaarheden kan een aanvaller op afstand code op het toestel uitvoeren, bijvoorbeeld door een mms-bericht te versturen, of als de gebruiker een e-mail of website opent. Deze twee lekken bevinden zich in de mediaserver en libutils. De resterende vijf kwetsbaarheden, waaronder één in de Stagefright-bibliotheek, hebben een minder grote impact.

Volgens Google beschikt Android over verschillende beveiligingsmaatregelen die de kans verkleinen dat Android-lekken succesvol kunnen worden aangevallen. Zo zijn er anti-exploitmaatregelen aan nieuwere Androidversies toegevoegd. Daarnaast zoekt het Android Security Team via Verify Apps en SafetyNet naar potentieel schadelijke applicaties. Verder sturen Google Hangouts en Messenger niet automatisch media door naar processen zoals mediaserver.

De updates worden over-the-air (OTA) aangeboden en zijn ook als firmware-download verkrijgbaar. Wanneer de updates voor de Android-toestellen van andere fabrikanten verschijnen is onbekend.

 

bron: security.nl