De eerste beveiligingsupdate van Google voor Android in 2020 verhelpt beveiligingslekken met een ‘hoge en kritieke’ ernstclassificatie

Het Android-besturingssysteem van Google voor smartphones ontving de allereerste beveiligingsupdate van het nieuwe jaar. De eerste beveiligingsupdate van Google van 2020 loste zeven Android-tekortkomingen op die als hoog en kritiek werden geclassificeerd. Hoewel het aantal en de ernstclassificatie misschien zorgwekkend lijkt, is het Android-besturingssysteem er steeds beter in geworden om hackers en kwaadwillende codeschrijvers op afstand te houden.

Google's eerste Android-beveiligingsbulletin van 2020 bevatte een patch voor een kritieke fout in het besturingssysteem van de smartphone. Als de fout correct en met succes wordt uitgevoerd, kan een hacker mogelijk willekeurige, ongeautoriseerde en mogelijk schadelijke code uitvoeren. De beveiligingsfout, nu hersteld, was uitvoerbaar op afstand. Met andere woorden, de hacker hoefde niet fysiek in het bezit te zijn van het Android-apparaat en de aanvaller hoefde zich niet op hetzelfde netwerk te bevinden om de hack uit te voeren.

Google Android 2020-beveiligingsupdate herstelt fout op Remote Coder Execution (RCE):

Google heeft dit jaar de eerste beveiligingspatchupdate voor Android OS uitgebracht en deze bevat bescherming tegen een Remote Coder Execution (RCE) -fout, een van de zeven kritieke en zeer ernstige kwetsbaarheden. Het Google News Bulletin vermeldt kort de kwetsbaarheden, maar biedt geen details vanwege bezorgdheid over de veiligheid,

"De ernstigste van deze problemen is een kritieke beveiligingslek in het Media-framework waardoor een aanvaller op afstand een speciaal vervaardigd bestand kan gebruiken om willekeurige code uit te voeren binnen de context van een geprivilegieerd proces."

De zoekgigant, die ook het meest gebruikte besturingssysteem voor smartphones ter wereld ontwikkelt en onderhoudt, merkte op dat de RCE-beveiligingsfout, officieel getagd als CVE-2020-0002 en gemarkeerd als ‘Ernstig’, bestaat in het Media-framework van Android. Het framework biedt ondersteuning voor het afspelen van een groot aantal veelgebruikte mediatypen. Onnodig toe te voegen, dit vormt de basis van multimediagebruik en consumptie van smartphones, aangezien het gebruikers in staat stelt om naar audio te luisteren en toegang te krijgen tot video en afbeeldingen.

De CVE-2020-0002 RCE Beveiligingsfout beïnvloedt Android-besturingssystemen versies 8.0, 8.1 en 9. Hoewel Google specifiek heeft aangegeven, lijkt de nieuwste Android-versie 10 grotendeels immuun voor het defect. Naast de CVE-2020-0002-bug heeft Google ook zeer ernstige Elevation of Privilege-fouten verholpen (CVE-2020-0001, CVE-2020-0003).

Het bedrijf pakte ook een Denial of Service (DoS) -fout (CVE-2020-0004) in het Android-framework aan, waardoor "een lokale kwaadwillende applicatie de vereisten voor gebruikersinteractie kon omzeilen om toegang te krijgen tot aanvullende machtigingen." De overige drie beveiligingsproblemen, met de tags CVE-2020-0006, CVE-2020-0007, CVE-2020-0008, kunnen "leiden tot het vrijgeven van informatie op afstand zonder dat aanvullende uitvoeringsrechten nodig zijn."

Afgezien van deze tekortkomingen repareerde Google ook negenentwintig andere kwetsbaarheden. Overigens waren ze grotendeels gerelateerd aan Qualcomm-componenten. De ernstfout, getagd als CVE-2019-17666, en gemarkeerd als ‘Critical’, bestond in de Qualcomm Realtek ‘RTLWiFi-driver’. Het kan leiden tot een aanval op de uitvoering van externe code. Met het RTLWiFi-stuurprogramma kunnen bepaalde Realtek Wi-Fi-modules communiceren binnen en met de apparaten met het Linux-besturingssysteem.

De laatste Google-beveiligingsupdate van 2019 herstelde drie kwetsbaarheden met een kritieke ernst in het Android-besturingssysteem. Het geïmplementeerde Android-beveiligingsbulletin van december 2019 loste in totaal 15 kwetsbaarheden op, die werden verspreid onder kritieke, hoge en gemiddelde ernstclassificaties.