Google waarschuwt voor ernstige kwetsbaarheid in Android
Google rolt maandelijks beveiligingspatches uit voor Android. Fabrikanten nemen deze patches overwegend over en integreren ze in hun smartphones, waarbij enkel relevante onderdelen worden toegepast. Bovendien lossen fabrikanten regelmatig kwetsbaarheden in hun eigen software op. In juni was dat ook het geval voor Pixel-toestellen: Google bracht vorige maand een patch uit om een ernstig zerodaylek (CVE-2024-32896) voor Pixels op te lossen.
Nader onderzoek wijst uit dat niet alleen Pixel-toestellen kwetsbaar zijn. Google meldt aan Forbes dat de bug “het Android-platform treft” en dat er wordt gewerkt aan oplossingen voor andere Android-telefoons. De updates worden zo snel mogelijk uitgerold.
In de tussentijd zijn toestellen van merken als Samsung kwetsbaar voor het Android-lek. De beveiligingsupdate van juli voor Samsung-telefoons biedt nog geen oplossing. Het is onduidelijk hoelang het duurt voor Google en fabrikanten zoals Samsung beveiligingspatches hiervoor kunnen aanbieden. De casus van Samsung toont wel aan dat het lek aanwezig is in het framework van Android en alle Android-telefoons treft, ongeacht het merk.
Waarschuwing Amerikaanse overheid
De Amerikaanse overheid waarschuwde Pixel-bezitters al om de beveiligingspatches van juni vóór 4 juli te installeren of hun toestel uit te schakelen. Deze waarschuwing is er nog niet voor andere Android-telefoons, wat logisch is aangezien er simpelweg nog geen oplossingen voor beschikbaar zijn.
Wat betreft de kwetsbaarheid zelf: Google liet al weten dat deze “beperkt en doelgericht” kan worden uitgebuit.
Escalatie van privileges
Google waarschuwt daarnaast voor CVE-2024-31320. Deze bug in het onderliggende framework van Android kan leiden tot “escalatie van privileges”, wat betekent dat hackers meer rechten krijgen om bepaalde acties uit te voeren. Google benadrukt dat gebruikersinteractie vereist is om de kwetsbaarheid uit te buiten, maar het risico is zeker aanwezig. Samsung heeft dit lek al opgelost in de patches van juli.
Wat CVE-2024-32896 betreft: Google geeft nog geen details over de exacte werking. De zoekgigant meldt wel dat “meerdere kwetsbaarheden nodig zijn” om een aanval te laten slagen.
