Google lukker stribevis af sårbarheder i Android - herunder endnu en 'din-mobil-kan-hackes-via-MMS'

Illustration: Android Logo
Med den seneste opdatering til Android lukker Google adskillige kritiske sårbarheder i mobilstyresystemet.

November-opdateringerne til Android er klar. Af en sikkerhedsbulletin fra Google fremgår det, at der denne gang er der 14 kritiske sikkerhedsproblemer i Android-relaterede elementer.

Et af problemerne ligger i en gammel kending, Mediaserver-processen - som Google i øvrigt har brudt op i Android 7.0.

Det er en del af styresystemet, som håndterer udefrakommende medieindhold fra eksempelvis en browser, mail og MMS. Mediaserver-biblioteket har stort set siden Google begyndte på sine månedlige opdateringer til Android tilbage i august 2015 huset mindst en kritisk sårbarhed på en månedlig basis. Og gerne i remote-code-execution-kategorien.

Altså hvor det - i princippet - er muligt for en angriber af at overtage en enhed på afstand, hvilket selvsagt er en lidet ønskværdig situation. Og ofte har angrebet i relation til Mediaserver-processen - i hvert fald på papiret - kunnet gennemføres via en ondsindet MMS.

Googles egne apps til den slags indhold, Messenger (ikke Facebook-app'en) og Hangouts sender dog ikke automatisk medieindhold til Mediaserver-processen.

Hvad november-opdateringen og Mediaserver angår er der atter tale om, at en MMS kan bruges til at overtage enheden. Sårbarheden benævnes CVE-2016-6699.

»Den mest alvorlige at disse problemer er en kritisk sikkerheds-sårbarhed som kan gøre fjern-eksekvering af kode muligt på påvirkede enheder via forskellige teknikker som mail, webbrowsing og MMS, når mediefiler bliver processeret,« oplyser Google i sin sikkerhedsbulletin for november-rettelserne.

Delt i to

Siden juli i år har Google inddelt sine månedlige Android-opdateringer i to patch-pakker. Den ene retter sårbarheder generelt i Android, den anden opdatering retter sårbarheder i forhold til specifikke hardwarekonfigurationer. Sidstnævnte er derfor ikke nødvendigvis et must for alle Android-enheder.

I forhold til den hardware-specifikke del bliver der i november-opdateringen også fikset adskillige kritiske sårbarheder. Blandt andet en rettigheds-eskalerings-sårbarhed, der relaterer sig til en Qualcomm crypto-driver. En anden fikser en sårbarhed - ligeledes rettigheds-eskalering - i en NVidia-GPU-driver.

Alle kritiske sårbarheder i både den ene og den anden patch-pakke påvirker Googles egen Nexus- og Pixel-enheder.

Rådet fra Google i forbindelse med sikkerheds bulletinen er ikke helt overraskende:

»Vi opfordrer alle kunder til at acceptere disse opdateringer på deres enheder.«

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Følg forløbet
Kommentarer (0)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
Log ind eller Opret konto for at kommentere