2017-1726: Google Android Operating System: Mehrere Schwachstellen ermöglichen u.a. die Ausführung beliebigen Programmcodes

Historie:

Version 1 (2017-10-04 15:07)

Neues Advisory

Betroffene Software

Systemsoftware

Betroffene Plattformen

Hardware
Google
Linux

Beschreibung:

Mehrere Schwachstellen in Google Android 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 und 8.0 vor Version 2017-10-05 ermöglichen einem entfernten, nicht authentifizierten Angreifer die Ausführung beliebigen Programmcodes mit den Rechten privilegierter Dienste, die Erweiterung von Privilegien installierter Anwendungen, die Durchführung verschiedener Denial-of-Service (DoS)-Angriffe und das Ausspähen sensitiver Informationen. Eine Schwachstelle im von Google Android eingesetzten Dnsmasq ermöglicht darüber hinaus einem nicht authentisierten Angreifer im benachbarten Netzwerk die Ausführung beliebigen Programmcodes. Ein lokaler, nicht authentisierter Angreifer mit physischen Zugriff auf das System kann eine Schwachstelle ausnutzen, um die Kamerasoftware betroffener Geräte vom Sperrbildschirm aus zu starten, auch wenn die dafür vorgesehene Schaltfläche aus Sicherheitsgründen vom Systemadministrator deaktiviert wurde.

Google stellt die beiden Patch Level 2017-10-01 und 2017-10-05 als Sicherheitsupdates bereit, mit denen die Schwachstellen behoben werden. Der Patch Level 2017-10-01 behebt dabei allgemeine Schwachstellen im Google Android Betriebssystem und dort eingesetzten Bibliotheken und Frameworks, der Patch Level 2017-10-05 behebt hauptsächlich hardwarespezifische Schwachstellen in Chipsätzen und Treibern von Herstellern verschiedener Komponenten sowie Schwachstellen im Kernel des Systems.

Google stellt für Google Geräte Sicherheitsupdates durch ein Over-the-air-Update (OTA) bereit und stellt die Firmware-Images über die Entwicklerseite zum Download zur Verfügung. Für Schwachstellen, welche ausschließlich Google-Geräte betreffen veröffentlicht Google nun eine zusätzliche Sicherheitsmeldung (siehe Pixel / Nexus Security Bulletin des Herstellers).

Samsung veröffentlicht für einige Geräte Sicherheitsupdates, mit denen eine Teilmenge der hier referenzierten sowie diverse weitere Schwachstellen behoben werden. Zusätzlich werden sechs Samsung-spezifische Schwachstellen und Verwundbarkeiten (SVE) adressiert, von denen drei explizit genannt werden. Samsung teilt hierzu mit, dass einige SVE's, die mit dem aktuellen Sicherheitsupdate behoben werden, zum jetzigen Zeitpunkt noch nicht öffentlich bekannt gegeben werden können. Samsung stellt keine Informationen zum verwendeten Patch Level zur Verfügung.

Andere Hersteller (Partner) wurden mindestens einen Monat vor Veröffentlichung dieser Meldung oder früher über die Schwachstellen informiert. Informationen zu deren Sicherheitsupdates stehen zum gegenwärtigen Zeitpunkt noch aus.

Schwachstellen:

CVE-2017-0806

Schwachstelle in Framework ermöglicht Privilegieneskalation

CVE-2017-0807

Schwachstelle in Framework ermöglicht Privilegieneskalation

CVE-2017-0808

Schwachstelle in Framework ermöglicht Ausspähen von Informationen

CVE-2017-0809 CVE-2017-0810 CVE-2017-0811

Schwachstellen in Media Framework ermöglichen Ausführung beliebigen Programmcodes

CVE-2017-0812

Schwachstelle in Media Framework ermöglicht Privilegieneskalation

CVE-2017-0813

Schwachstelle in Media Framework ermöglicht Denial-of-Service-Angriff

CVE-2017-0814

Schwachstelle in Media Framework ermöglicht Ausspähen von Informationen oder Denial-of-Service-Angriff

CVE-2017-0815 CVE-2017-0816

Schwachstellen in Media Framework ermöglichen Ausspähen von Informationen

CVE-2017-0817

Schwachstelle in Media Framework ermöglicht Ausspähen von Informationen

CVE-2017-0818

Schwachstelle in Media Framework ermöglicht Denial-of-Service-Angriff

CVE-2017-0819

Schwachstelle in Media Framework ermöglicht Denial-of-Service-Angriff

CVE-2017-0820

Schwachstelle in Media Framework ermöglicht Denial-of-Service-Angriff

CVE-2017-0822

Schwachstelle in System ermöglicht Privilegieneskalation

CVE-2017-0823

Schwachstelle in System ermöglicht Ausspähen von Informationen

CVE-2017-0824

Schwachstelle in Broadcom-Komponente ermöglicht Privilegieneskalation

CVE-2017-0825

Schwachstelle in Broadcom-Komponente ermöglicht Ausspähen von Informationen

CVE-2017-0826

Schwachstelle in HTC-Komponente ermöglicht Privilegieneskalation

CVE-2017-0827

Schwachstelle in MediaTek-Komponente ermöglicht Privilegieneskalation

CVE-2017-0828

Schwachstelle in Huawei-Komponente ermöglicht Privilegieneskalation

CVE-2017-0829

Schwachstelle in Motorola-Komponente ermöglicht Privilegieneskalation

CVE-2017-11051 CVE-2017-11054 CVE-2017-11055 CVE-2017-11062 CVE-2017-11064

Schwachstellen in Qualcomm-Komponente ermöglichen Ausspähen von Informationen

CVE-2017-11053

Schwachstelle in Qualcomm-Komponente ermöglicht Ausführung beliebigen Programmcodes

CVE-2017-11063

Schwachstelle in Qualcomm-Komponente ermöglicht Denial-of-Service-Angriff

CVE-2017-14496

Schwachstelle in Dnsmasq ermöglicht Denial-of-Service-Angriff

CVE-2017-7187

Schwachstelle in Linux-Kernel ermöglicht Denial-of-Service-Angriff

CVE-2017-7374

Schwachstelle in Linux-Kernel ermöglicht Übernahme eines Systems

CVE-2017-9075

Schwachstelle in Linux-Kernel ermöglicht Denial-of-Service-Angriff

CVE-2017-9683

Schwachstelle in Qualcomm-Komponente ermöglicht Privilegieneskalation

CVE-2017-9686 CVE-2017-11046 CVE-2017-11050 CVE-2017-11056 CVE-2017-11057 CVE-2017-11067

Schwachstellen in Qualcomm-Komponenten ermöglichen Privilegieneskalation

CVE-2017-9687 CVE-2017-9697 CVE-2017-9706 CVE-2017-11048 CVE-2017-11059

Schwachstellen in Qualcomm-Komponenten ermöglichen Privilegieneskalation

CVE-2017-9714

Schwachstelle in Qualcomm-Komponente ermöglicht Privilegieneskalation

CVE-2017-9715 CVE-2017-9717 CVE-2017-11052 CVE-2017-11060 CVE-2017-11061

Schwachstellen in Qualcomm-Komponente ermöglichen Ausspähen von Informationen

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.