2016-0698: Google Android Operating System: Mehrere Schwachstellen ermöglichen u.a. das Erlangen von Administratorrechten

Historie:

Version 1 (2016-05-03 18:21)

Neues Advisory

Betroffene Software

Systemsoftware

Betroffene Plattformen

Hardware
Google
Linux

Beschreibung:

Mehrere Schwachstellen in Google Android 4.4.4, 5.0.2, 5.1.1, 6.0 und 6.0.1 vor Version 2016-05-01 ermöglichen einem entfernten, nicht authentifizierten Angreifer die Ausführung beliebigen Programmcodes im Kontext des Kernels und damit die komplette Systemübernahme oder die Ausführung beliebigen Programmcodes mit Rechten privilegierter Dienste wie dem Mediaserver, die Erweiterung von Privilegien installierter Anwendungen, das Ausspähen von Informationen, die Darstellung falscher Informationen und verschiedene Denial-of-Service-Angriffe. Ein nicht authentifizierter Angreifer im benachbarten Netzwerk kann darüber hinaus beliebigen Programmcode während der Initialisierung von Bluetooth-Verbindungen (Pairing) ausführen. Für verschiedene Google Nexus-Geräte und Android One gibt Google weitere hardwarespezifische Sicherheitshinweise, die bestimmte Chipsätze und Treiber betreffen.

Google stellt für Nexus-Geräte Sicherheitsupdates durch ein Over-the-air-Update (OTA) bereit, stellt die Firmware-Images zum Download zur Verfügung und informiert darüber, dass der referenzierte Sicherheitshinweis aktualisiert wird, sobald Quellcode-Updates für das Android Open Source Project (AOSP) erhältlich sind. Updates mit dem Patch-Level 2016-05-01 beheben die Schwachstellen. Andere Hersteller wurden über die Schwachstellen informiert.

Schwachstellen:

CVE-2015-0569 CVE-2015-0570

Schwachstellen in Qualcomm WLAN-Treiber ermöglichen Ausführung beliebigen Programmcodes mit den Rechten des Dienstes

CVE-2015-0571

Schwachstelle im Qualcomm WLAN-Treiber ermöglicht Privilegieneskalation

CVE-2015-1805

Schwachstelle in Linux-Kernel ermöglicht u.a. Denial-of-Service-Angriff

CVE-2016-0705

Schwachstelle in OpenSSL ermöglicht Denial-of-Service-Angriff

CVE-2016-0774

Schwachstelle in Linux-Kernel ermöglicht Denial-of-Service-Angriff

CVE-2016-2060

Schwachstelle in Qualcomm Tethering-Controller ermöglicht u.a. Ausspähen von Informationen

CVE-2016-2428 CVE-2016-2429

Schwachstellen in Android Mediaserver ermöglichen Ausführung beliebigen Programmcodes mit den Rechten des Dienstes

CVE-2016-2430

Schwachstelle in Debuggerd ermöglicht Ausführung beliebigen Programmcodes mit den Rechten des Dienstes

CVE-2016-2431 CVE-2016-2432

Schwachstellen in Qualcomm TrustZone ermöglichen Ausführung beliebigen Programmcodes mit den Rechten des Dienstes

CVE-2016-2434 CVE-2016-2435 CVE-2016-2436 CVE-2016-2437

Schwachstellen in NVIDIA Grafiktreiber ermöglichen Ausführung beliebigen Programmcodes mit den Rechten des Dienstes

CVE-2016-2438

Schwachstelle im Audio-Subsystem ermöglicht Ausführung beliebigen Programmcodes

CVE-2016-2439

Schwachstelle in Bluetooth ermöglicht Ausführung beliebigen Programmcodes

CVE-2016-2440

Schwachstelle in Binder ermöglicht Ausführung beliebigen Programmcodes mit den Rechten eines anderen Dienstes

CVE-2016-2441 CVE-2016-2442

Schwachstellen im Qualcomm Buspm-Treiber ermöglichen Ausführung beliebigen Programmcodes

CVE-2016-2443

Schwachstelle im Qualcomm MDP-Treiber ermöglicht Ausführung beliebigen Programmcodes

CVE-2016-2444 CVE-2016-2445 CVE-2016-2446

Schwachstellen im NVIDIA Grafiktreiber ermöglichen Ausführung beliebigen Programmcodes

CVE-2016-2447

Schwachstelle in WLAN-Komponente von Google Android ermöglicht Ausführung beliebigen Programmcodes

CVE-2016-2448 CVE-2016-2449 CVE-2016-2450 CVE-2016-2451 CVE-2016-2452

Schwachstellen in Android Mediaserver ermöglichen Ausführung beliebigen Programmcodes

CVE-2016-2453

Schwachstelle im MediaTek Wi-Fi-Treiber ermöglicht Ausführung beliebigen Programmcodes

CVE-2016-2454

Schwachstelle in Qualcomm Hardware Codec ermöglicht Denial-of-Service-Angriff

CVE-2016-2456

Schwachstelle im MediaTek Wi-Fi-Treiber ermöglicht Privilegieneskalation

CVE-2016-2457

Schwachstelle in Wi-Fi ermöglicht Privilegieneskalation

CVE-2016-2458

Schwachstelle in AOSP Mail ermöglicht das Ausspähen von Informationen

CVE-2016-2459 CVE-2016-2460

Schwachstellen in Android Mediaserver ermöglichen das Ausspähen von Informationen

CVE-2016-2461 CVE-2016-2462

Schwachstellen in Conscrypt ermöglichen Privilegieneskalation

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.