Google lost twee kritieke kwetsbaarheden in Android op
Het gaat om twee zero-day kwetsbaarheden die niet bekend waren bij Google en aan het licht kwamen via Benoît Sevens van de Threat Analysis Group, een team van Google dat zich focust op het monitoren van cyberaanvallen die gesteund lijken te worden door overheden. Een van de twee Android-kwetsbaarheden werd ontdekt in samenwerking met Amnesty International.
De kwetsbaarheden worden deze week gedicht, maar zaten wel een hele tijd in Android en konden dus uitgebuit worden door cybercriminelen. Google sluit dan ook niet uit dat er effectief gebruikgemaakt werd van deze bugs en dat cybercriminelen ze nog steeds proberen te misbruiken bij toestellen die niet up-to-date zijn.
Android binnendringen zonder interactie van de gebruiker
Google geeft zelf niet veel informatie vrij over de kwetsbaarheden, maar spreekt over een kritieke beveiligingskwetsbaarheid die het mogelijk maakt om van op afstand een Android-systeem binnen te dringen zonder dat daarvoor een bepaalde voorafgaande interactie van de gebruiker nodig is. Het slachtoffer moet dus niet eerst op een malafide link klikken of een schadelijke app installeren.
Een van de twee kwetsbaarheden werd geïdentificeerd als CVE-2024-53197 en werd door lokale autoriteiten gebruikt om een Servische studentactivist te viseren. Concreet ging het dan om het misbruiken van usb-kerneldrivers, die deel uitmaken van de kern van het Android-besturingssysteem. Deze kwetsbaarheid werd ontdekt door Sevens en Amnesty International en gaat al terug tot in februari. Toen werd ook gewezen op de betrokkenheid van Cellebrite, een bedrijf dat ordehandhavingsdiensten allerlei tools verkoopt voor het hacken en uitlezen van telefoons.
Over de tweede kwetsbaarheid, CVE-2024-53150, is minder bekend, maar ook daar zou het gaan om een kwetsbaarheid op kernelniveau. Deze kwetsbaarheid werd ontdekt door Sevens.
Updaten is de boodschap
Google is nu zelf begonnen met het uitrollen van een Android-beveiligingsupdate waarmee de twee kwetsbaarheden weggewerkt worden, maar omdat Android open-source is, moeten verschillende fabrikanten zelf hun eigen versie van deze update doorduwen naar gebruikers. Google informeert fabrikanten ruim op voorhand over nieuw ontdekte kwetsbaarheden alvorens er openlijk over te communiceren, zodat er voldoende tijd is om een update voor te bereiden. Voor gebruikers is de boodschap natuurlijk om hun telefoon effectief up-to-date te houden.
