2018-0008: Google Android Operating System: Mehrere Schwachstellen ermöglichen u.a. die Ausführung beliebigen Programmcodes mit den Rechten privilegierter Dienste

Historie:

Version 1 (2018-01-03 17:09)

Neues Advisory

Version 2 (2018-01-04 16:30)

Google aktualisiert den Sicherheitshinweis für Google Android und weist darauf hin, dass die unter den Namen 'Spectre' und 'Meltdown' von Sicherheitsforschern aus dem eigenen Haus veröffentlichten Schwachstellen durch das Google Android Sicherheitsupdate im Januar im Kontext von CVE-2017-13218 adressiert worden sind. Das Update für diese Schwachstelle reduziert den Zugriff auf Präzisionstimer, die für eine Ausnutzung der Schwachstellen notwendig sind. Dem Android Team sind davon abgesehen keine Informationen über eine Ausnutzung der Schwachstellen auf ARM-basierten Android-Geräten bekannt. Samsung fügt seinem Sicherheitshinweis für Android im Januar zahlreiche bisher nicht als behoben aufgeführte Schwachstellen hinzu. Zu den Schwachstellen 'Spectre' und 'Meltdown' gibt der Hersteller allerdings keine neuen Informationen bekannt.

Version 3 (2018-01-08 12:47)

Google hat seinen Sicherheitshinweis aktualisiert und Links für Quellcode-Updates für das Android Open Source Project (AOSP) ergänzt. Samsung ergänzt seinen Sicherheitshinweis um einen Absatz zu den Schwachstellen 'Spectre' und 'Meltdown' und übernimmt einen Patch von Google, der unter dem Bezeichner CVE-2017-13218 die Angriffsfläche für bisher bekannte Angriffsszenarien vermindert. Samsung verwendet hier den Schwachstellenbezeichner CVE-2017-31218, dabei handelt es sich vermutlich um einen Tippfehler.

Betroffene Software

Systemsoftware

Betroffene Plattformen

Hardware
Google
Linux

Beschreibung:

Mehrere Schwachstellen in Google Android 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0 und 8.1 vor Patch Level 2018-01-05 ermöglichen einem entfernten, nicht authentifizierten Angreifer das Umgehen einer Sicherheitsvorkehrung, die Privilegien beschränken soll und eigentlich eine Benutzerinteraktion erfordert, die Ausführung beliebigen Programmcodes mit den Rechten privilegierter Dienste wie dem Media Framework, die Durchführung verschiedener Denial-of-Service (DoS)-Angriffe und das Ausspähen sensitiver Informationen.

Google stellt die zwei Patch Level 2018-01-01 und 2018-01-05 als Sicherheitsupdates bereit, mit denen die Schwachstellen behoben werden. Der Patch Level 2018-01-01 behebt dabei allgemeine Schwachstellen im Google Android Betriebssystem und dort eingesetzten Bibliotheken und Frameworks, der Patch Level 2018-01-05 behebt im Wesentlichen hardwarespezifische Schwachstellen in Chipsätzen und Treibern von Herstellern verschiedener Komponenten und Schwachstellen im Kernel des Systems. Hier werden neben Kernel und Media Framework Komponenten der Hersteller HTC, LG, MediaTek, NVIDIA und Qualcomm mit jeweils mindestens einer Schwachstelle genannt.

Google kündigt für Google-Geräte (Nexus, Pixel) Sicherheitsupdates durch ein Over-the-Air-Update (OTA) an und wird die Firmware-Images über die Entwicklerseite zum Download zur Verfügung stellen. Für Schwachstellen, welche ausschließlich Google-Geräte betreffen, veröffentlicht der Hersteller eine zusätzliche Sicherheitsmeldung (siehe Pixel / Nexus Security Bulletin des Herstellers). Hier werden weitere Schwachstellen in verschiedenen Systemkomponenten (unter anderem Kernel, Media Framework und System) und Komponenten der Hersteller Broadcom, HTC, MediaTek und Qualcomm (unter anderem Bootloader, WLAN-Treiber und Mikrofon) aufgeführt.

Samsung veröffentlicht für einige Geräte Sicherheitsupdates, mit denen eine Teilmenge der hier referenzierten sowie weitere Schwachstellen behoben werden, die teilweise auch bereits mit früheren Android Security Bulletins adressiert wurden. Zusätzlich werden acht neue Samsung-spezifische Schwachstellen und Verwundbarkeiten (SVEs) adressiert. Samsung stellt keine Informationen zum verwendeten Patch Level zur Verfügung.

LG veröffentlicht für die unterstützten Geräte ein Sicherheitsupdate auf den von Google vorgegebenen Patch-Level 2018-01-01 und behebt damit ebenfalls eine Teilmenge der dort genannten Schwachstellen sowie zwei weitere Schwachstellen, die nur Geräte von LG selbst betreffen.

Andere Hersteller (Partner) wurden einen Monat vor Veröffentlichung dieser Meldung oder früher über die Schwachstellen informiert.

Schwachstellen:

CVE-2013-4397 CVE-2017-11010 CVE-2017-14906 CVE-2017-14911 CVE-2017-14912 CVE-2017-14913 CVE-2017-14915

Schwachstellen in Qualcomm-Komponenten ermöglichen nicht spezifizierte Angriffe

CVE-2017-0846

Schwachstelle in Framework ermöglicht Ausspähen von Informationen

CVE-2017-0855 CVE-2017-13191 CVE-2017-13192 CVE-2017-13193 CVE-2017-13195 CVE-2017-13196 CVE-2017-13197 CVE-2017-13199

Schwachstellen in Media Framework ermöglichen Denial-of-Service-Angriffe

CVE-2017-0869

Schwachstelle in Nvidia Driver ermöglicht Ausführung beliebigen Programmcodes

CVE-2017-11035 CVE-2017-11081 CVE-2017-14879 CVE-2017-15845

Schwachstellen in Qualcomm-Komponenten ermöglichen Privilegieneskalation

CVE-2017-11069 CVE-2017-15849

Schwachstellen in Qualcomm-Komponenten ermöglichen Ausführung beliebigen Programmcodes

CVE-2017-11473

Schwachstelle in Linux-Kernel ermöglicht Privilegieneskalation

CVE-2017-13176

Schwachstelle in Android Runtime ermöglicht Privilegieneskalation

CVE-2017-13177 CVE-2017-13178 CVE-2017-13179

Schwachstellen in Media Framework ermöglichen Ausführung beliebigen Programmcodes

CVE-2017-13180 CVE-2017-13181 CVE-2017-13182 CVE-2017-13184

Schwachstellen in Media Framework ermöglichen Privilegieneskalation

CVE-2017-13183

Schwachstelle in Media Framework ermöglicht Ausführung beliebigen Programmcodes

CVE-2017-13185 CVE-2017-13187 CVE-2017-13188 CVE-2017-13203 CVE-2017-13204 CVE-2017-13205

Schwachstellen in Media Framework ermöglichen Ausspähen von Informationen und Denial-of-Service-Angriffe

CVE-2017-13186 CVE-2017-13189 CVE-2017-13190 CVE-2017-13194 CVE-2017-13198

Schwachstellen in Media Framework ermöglichen Denial-of-Service-Angriffe

CVE-2017-13200 CVE-2017-13201 CVE-2017-13202 CVE-2017-13206 CVE-2017-13207

Schwachstellen in Media Framework ermöglichen Ausspähen von Informationen

CVE-2017-13208

Schwachstelle in System ermöglicht Ausführung beliebigen Programmcodes

CVE-2017-13209 CVE-2017-13210

Schwachstellen in System ermöglichen Privilegieneskalation

CVE-2017-13211

Schwachstelle in System ermöglicht Denial-of-Service-Angriff

CVE-2017-13212 CVE-2017-13213 CVE-2017-11072

Schwachstellen in verschiedenen Komponenten von Google Nexus und Pixel ermöglichen Privilegieneskalation

CVE-2017-13214

Schwachstelle in HTC Hardware HEVC Decoder ermöglicht Denial-of-Service-Angriff

CVE-2017-13215

Schwachstelle in Linux-Kernel ermöglicht Privilegieneskalation

CVE-2017-13216

Schwachstelle in Ashmem ermöglicht Privilegieneskalation

CVE-2017-13217

Schwachstelle in LG Bootloader ermöglicht Ausführung beliebigen Programmcodes

CVE-2017-13218

Schwachstelle in Timers ermöglicht Ausspähen von Informationen

CVE-2017-13219

Schwachstelle in Synaptics Touchscreen Controller ermöglicht Denial-of-Service-Angriff

CVE-2017-13220

Schwachstelle in Kernelkomponente ermöglicht Eskalation von Privilegien

CVE-2017-13221

Schwachstelle in Kernelkomponente ermöglicht Eskalation von Privilegien

CVE-2017-13222

Schwachstelle in Kernel ermöglicht Ausspähen von Informationen

CVE-2017-13225

Schwachstelle in MediaTek MTK Media ermöglicht Ausführung beliebigen Programmcodes

CVE-2017-13226

Schwachstelle in MediaTek MTK ermöglicht Eskalation von Privilegien

CVE-2017-14140

Schwachstelle in Linux-Kernel ermöglicht Ausspähen von Informationen

CVE-2017-14497

Schwachstelle in Linux-Kernel ermöglicht u.a. Manipulation von Dateien

CVE-2017-15537

Schwachstelle in Linux-Kernel ermöglicht Ausspähen von Informationen

CVE-2017-9689 CVE-2017-9705 CVE-2017-11003 CVE-2017-11080 CVE-2017-14873 CVE-2017-15847 CVE-2017-15848

Schwachstellen in Qualcomm-Komponenten ermöglichen Privilegieneskalation

CVE-2017-9712 CVE-2017-11066 CVE-2017-11079 CVE-2017-14869 CVE-2017-14870 CVE-2017-15850

Schwachstellen in Qualcomm-Komponenten ermöglichen Ausspähen von Informationen

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.