Androidtelefoons via kritiek beveiligingslek op afstand over te nemen

  • -

Androidtelefoons via kritiek beveiligingslek op afstand over te nemen

Category:blog

Androidtelefoons bevatten een kritieke kwetsbaarheid waardoor toestellen op afstand en zonder interactie van gebruikers zijn over te nemen. Google heeft beveiligingsupdates uitgebracht om het probleem te verhelpen. Tijdens de laatste patchronde van dit jaar heeft Google in totaal 94 kwetsbaarheden in Android verholpen, waarvan er meerdere als kritiek zijn bestempeld.

Het gevaarlijkste beveiligingslek volgens het techbedrijf is CVE-2023-40088 en bevindt zich in Android System. Via deze kwetsbaarheid kan een aanvaller op afstand en zonder enige interactie van gebruikers code op Androidtelefoons uitvoeren. Verdere details over het lek zijn niet door Google gegeven, bijvoorbeeld hoe een aanvaller hier precies misbruik van zou kunnen maken. Het probleem is verholpen in Android 11, 12, 12L, 13 en 14.

Daarnaast zijn er twee kritieke beveiligingslekken gerepareerd waardoor een aanvaller zijn rechten op het systeem kan verhogen, zonder dat er enige interactie van gebruikers nodig is. ‘Escalation of privilege’ kwetsbaarheden worden meestal niet als kritiek bestempeld, maar in het geval van beveiligingslekken CVE-2023-40077 en CVE-2023-45866 is dat wel het geval.

De vierde kritieke kwetsbaarheid in Android die Google heeft gepatcht betreft een probleem waardoor een aanvaller informatie kan stelen. Ook deze categorie kwetsbaarheden wordt meestal niet als kritiek bestempeld. Google zag reden om dit voor CVE-2023-40076 wel te doen, maar geeft geen verdere details. Het laatste kritieke beveiligingslek (CVE-2022-40507) bevindt zich in code van chipfabrikant Qualcomm en is alleen te misbruiken door een aanvaller die al toegang tot de telefoon heeft.

Patchniveau

Google werkt met zogeheten patchniveaus, waarbij een datum het patchniveau weergeeft. Toestellen die de december-updates ontvangen zullen ‘2023-12-01’ of ‘2023-12-05’ als patchniveau hebben. Fabrikanten die willen dat hun toestellen dit patchniveau krijgen moeten in dit geval alle updates van het Android-bulletin van december aan hun eigen updates toevoegen, om die vervolgens onder hun gebruikers uit te rollen. De updates zijn beschikbaar gesteld voor Android 11, 12, 12L,13 en 14.

Fabrikanten van Androidtoestellen zijn volgens Google tenminste een maand geleden over de nu verholpen kwetsbaarheden ingelicht en hebben in die tijd updates kunnen ontwikkelen. Dat wil echter niet zeggen dat alle Androidtoestellen deze updates zullen ontvangen. Sommige toestellen worden niet meer met updates van de fabrikant ondersteund of de fabrikant brengt de updates op een later moment uit.


Chat openen
Hulp nodig?
Hallo,
Waarmee kan ik u helpen