Google: “Android-fabrikanten hebben kwetsbaarheden niet gepatcht”
Google heeft een aantal beveiligingsproblemen blootgelegd bij telefoons die Mali-GPU’s gebruiken, zoals die met een Exynos-SoC. Het Project Zero-team van de zoekgigant heeft de oorzaak van het probleem gevonden. GPU-producent ARM zou verantwoordelijk zijn en zou daar in de zomer al op gewezen zijn.
De chipfabrikant heeft het probleem meteen aangepakt, maar… smartphonefabrikanten (waaronder Samsung, Xiaomi, Oppo en Google zelf) zijn pas deze week begonnen met het uitrollen va patches. Dat wil dus zeggen dat een hoop smartphones in de tussentijd kwetsbaar waren, zo meldt Project Zero.
Android kwetsbaar voor hackers
De onderzoekers bij Google konden in juni en juli een vijftal belangrijke problemen detecteren en werkten samen met ARM om ze op te lossen. “Een van de problemen leidde tot corrupt kernel-geheugen. Door een ander issue werden er fysieke geheugenadressen doorgespeeld naar de userspace en bij de overige drie problemen gingen het over een fysieke page use-after-free-voorwaarde”, schrijft Project Zero-ingenieur Ian Beer in een blogbericht. “Deze problemen zouden een hacker toelaten om fysieke pagina’s te blijven lezen en overschrijven, ook nadat ze terugkeerden naar het systeem”, luidt de technische uitleg.
Nog volgens Beer zou een hacker zomaar volledige toegang kunnen krijgen tot een Android-systeem door de permissies te omzeilen en zich zo “brede toegang te verschaffen tot gebruikersdata”. De aanvaller zou dat kunnen doen door de kernel te forceren en de hierboven vermelde fysieke pagina’s te hergebruiken als page tables.
Smartphone-fabrikanten reageerden te laat
Vervolgens moest Project Zero vaststellen dat Androidtoestellen nog altijd kwetsbaar bleven, ook al had ARM de problemen drie maanden eerder al opgelost. Het is moeilijk te zeggen welke fabrikanten intussen een patch hebben uitgebracht die dit probleem dekt. Maar, heb jij een Snapdragon-chip in je toestel, dan zit je alvast safe.
- Lees ook: Google wil betere apps voor foldables
