2018-0427: Google Android Operating System: Mehrere Schwachstellen ermöglichen u.a. die Ausführung beliebigen Programmcodes mit den Rechten privilegierter Dienste

Historie:

Version 1 (2018-03-06 15:05): Neues Advisory
Version 2 (2018-03-08 11:30): Google aktualisiert den referenzierten Sicherheitshinweis und ergänzt die Links für Quellcode-Updates für das Android Open Source Project (AOSP).

Betroffene Software

Systemsoftware

Betroffene Plattformen

Hardware
Google
Linux

Beschreibung:

Mehrere Schwachstellen in Google Android 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0 und 8.1 vor Patch Level 2018-03-05 ermöglichen auch einem entfernten, nicht authentifizierten Angreifer die Eskalation von Privilegien, die Ausführung beliebigen Programmcodes mit den Rechten privilegierter Dienste wie dem Media Framework, die Durchführung verschiedener Denial-of-Service (DoS)-Angriffe und das Ausspähen sensitiver Informationen. Mehrere der Schwachstellen werden vom Hersteller als 'kritisch' eingestuft.

Google stellt die zwei Patch Level 2018-03-01 und 2018-03-05 als Sicherheitsupdates bereit, mit denen die Schwachstellen behoben werden. Der Patch Level 2018-03-01 behebt dabei allgemeine Schwachstellen im Google Android Betriebssystem und dort eingesetzten Bibliotheken und Frameworks. Auch Angreifer im benachbarten Netzwerk können hier kritische Schwachstellen ausnutzen, dies kann beispielsweise über WLAN oder Bluetooth-Verbindungen erfolgen. Der Hersteller macht dazu bisher keine näheren Angaben.

Der Patch Level 2018-03-05 behebt im Wesentlichen hardwarespezifische Schwachstellen in Chipsätzen und Treibern von Herstellern verschiedener Komponenten und Schwachstellen im Kernel des Systems. Hier werden neben weiteren Schwachstellen im Kernel auch Komponenten der Hersteller NVIDIA und Qualcomm mit jeweils mindestens einer Schwachstelle genannt.

Google kündigt für Google-Geräte (Nexus, Pixel) Sicherheitsupdates durch ein Over-the-Air-Update (OTA) an und wird die Firmware-Images über die Entwicklerseite zum Download zur Verfügung stellen. Für Schwachstellen, welche ausschließlich Google-Geräte betreffen, veröffentlicht der Hersteller eine zusätzliche Sicherheitsmeldung (siehe Pixel / Nexus Security Bulletin des Herstellers). Hier werden weitere Schwachstellen in verschiedenen Systemkomponenten (unter anderem Kernel, Media Framework und System) und Komponenten der Hersteller NVIDIA und Qualcomm (unter anderem Camera und WLAN) aufgeführt.

Samsung und LG veröffentlichen für einige Geräte Sicherheitsupdates, mit denen eine Teilmenge der hier referenzierten sowie weitere Schwachstellen behoben werden, die teilweise auch bereits mit früheren Android Security Bulletins adressiert wurden. Samsung behebt zusätzlich neue Schwachstellen für eigene Geräte.

Andere Hersteller (Partner) wurden einen Monat vor Veröffentlichung dieser Meldung oder früher über die Schwachstellen informiert.

Schwachstellen:

CVE-2016-10393 CVE-2017-17773

Schwachstellen in Qualcomm-Komponenten ermöglichen nicht spezifizierte Angriffe

CVE-2017-1000111

Schwachstelle in Linux-Kernel ermöglicht Systemübernahme

CVE-2017-11074 CVE-2017-11082 CVE-2017-14887

Schwachstellen in Qualcomm WLan ermöglichen Privilegieneskalation

CVE-2017-13248 CVE-2017-13249 CVE-2017-13250

Schwachstellen in Media Framework ermöglichen Ausführung beliebigen Programmcodes

CVE-2017-13251 CVE-2017-13252 CVE-2017-13253

Schwachstellen in Media Framework ermöglichen Privilegieneskalation

CVE-2017-13254 CVE-2017-13264

Schwachstellen in Media Framework ermöglichen Denial-of-Service-Angriffe

CVE-2017-13255 CVE-2017-13256 CVE-2017-13272 CVE-2017-13266

Schwachstellen in System ermöglichen Ausführung beliebigen Programmcodes

CVE-2017-13257 CVE-2017-13258 CVE-2017-13259 CVE-2017-13260 CVE-2017-13261 CVE-2017-13262

Schwachstellen in System ermöglichen Ausspähen von Informationen

CVE-2017-13263

Schwachstelle in Framework ermöglicht Privlegieneskalation

CVE-2017-13265 CVE-2017-13266

Schwachstellen in Android System ermöglichen Privilegieneskalation

CVE-2017-13268 CVE-2017-13269

Schwachstellen in Android System ermöglichen Ausspähen von Informationen

CVE-2017-13270 CVE-2017-13271

Schwachstellen in Kernelkomponente ermöglichen Eskalation von Privilegien

CVE-2017-14878

Schwachstelle in Qualcomm-Komponente ermöglicht Denial-of-Service-Angriff

CVE-2017-14879

Schwachstelle in Qualcomm-Komponente ermöglicht Eskalation von Privilegien

CVE-2017-14882 CVE-2017-18069

Schwachstellen in Qualcomm-Komponente ermöglichen Ausspähen von Informationen

CVE-2017-14885 CVE-2017-15821 CVE-2017-18056 CVE-2017-18063 CVE-2017-18064 CVE-2017-18068

Schwachstellen in Qualcomm-Komponente ermöglichen Privilegieneskalation

CVE-2017-14889 CVE-2017-15831 CVE-2017-18054 CVE-2017-18055 CVE-2017-18062 CVE-2017-18065

Schwachstellen in Qualcomm-Komponenten ermöglichen Privilegieneskalation

CVE-2017-15649

Schwachstelle in Linux-Kernel ermöglicht Erlangen von Administratorrechten

CVE-2017-15814 CVE-2017-15855

Schwachstellen in Qualcomm Camera_v2 Driver ermöglichen Ausspähen von Informationen

CVE-2017-15815 CVE-2017-18067

Schwachstellen in Qualcomm-Komponenten ermöglichen Ausführung beliebigen Programmcodes

CVE-2017-15830

Schwachstelle in Qualcomm SME Driver ermöglicht Privilegieneskalation

CVE-2017-15833 CVE-2017-18066

Schwachstellen in Qualcomm Power Driver ermöglichen Privilegieneskalation

CVE-2017-15834 CVE-2018-3561

Schwachstellen in Qualcomm Diagchar ermöglichen Eskalation von Privilegien