2021-2058: Google Android Operating System: Mehrere Schwachstellen ermöglichen u. a. das Ausführen beliebigen Programmcodes mit Administratorrechten
Historie:
- Version 1 (2021-10-05 17:37)
- Neues Advisory
- Version 2 (2021-10-12 17:43)
- Google hat den Sicherheitshinweis für Google Android aktualisiert und die zu den einzelnen Schwachstellen korrespondierenden Android Open Source Project (AOSP)-Links veröffentlicht sowie die Schwachstelle CVE-2021-0583 in die CVE-Liste aufgenommen, welche eine Privilegieneskalation ermöglicht. Der Hersteller LG veröffentlicht ein Sicherheitsupdate, mit dem eine Teilmenge der hier referenzierten sowie weitere Schwachstellen behoben werden, die teilweise auch bereits mit früheren Android Security Bulletins adressiert wurden. Der Hersteller behebt zusätzliche Schwachstellen für Geräte aus eigener Produktion. Der Patch-Level des veröffentlichten Sicherheitsupdates wird mit '2021-10-01' für Geräte von LG angegeben.
Betroffene Software
Systemsoftware
Betroffene Plattformen
Hardware
Google
Linux
Beschreibung:
Ein Angreifer kann mehrere Schwachstellen in Google Android 8.1, 9, 10 und 11 vor Patch-Level 2021-10-05 aus der Ferne ausnutzen, um Informationen auszuspähen und beliebigen Programmcode mit den Rechten des Administrators auszuführen. Zudem kann ein Angreifer mehrere Schwachstellen lokal ausnutzen, um Informationen auszuspähen, Privilegien zu eskalieren, Sicherheitsvorkehrungen zu umgehen, beliebigen Programmcode auszuführen, Denial-of-Service (DoS)-Angriffe und nicht spezifizierte Angriffe durchzuführen. Mehrere weitere Schwachstellen kann ein Angreifer im benachbarten Netzwerk ausnutzen, um Informationen auszuspähen, Sicherheitsvorkehrungen zu umgehen, einen Denial-of-Service (DoS)-Angriff durchzuführen und falsche Informationen darzustellen.
Für die Ausnutzung der Schwachstellen sind unterschiedliche Privilegien erforderlich. Mehrere Schwachstellen erfordern die Interaktion eines Benutzers.
Es existieren zusätzliche Schwachstellen in quelloffenen und nicht quelloffenen Komponenten von Qualcomm, welche weitere, nicht spezifizierte Angriffe ermöglichen.
Insgesamt werden drei der Schwachstellen von Google und Qualcomm als 'kritisch' eingestuft.
Google stellt die Patch-Level 2021-10-01 und 2021-10-05 als Sicherheitsupdates bereit, mit denen die Schwachstellen behoben werden. Der Patch-Level 2021-10-01 behebt dabei Schwachstellen in Google Android Framework, Media Framework, in der Laufzeitumgebung und im Grundsystem. Der Patch-Level 2021-10-05 behebt weitere Schwachstellen im Kernel, der Telecommunication-Komponente und in verschiedenen Komponenten von Qualcomm.
Google kündigt für Google Pixel Sicherheitsupdates an und stellt die Firmware-Images über die Entwicklerseite zum Download zur Verfügung.
Der Hersteller Samsung veröffentlicht ein Sicherheitsupdate, mit dem eine Teilmenge der hier referenzierten sowie weitere Schwachstellen behoben werden, die teilweise auch bereits mit früheren Android Security Bulletins adressiert wurden. Der Hersteller behebt zusätzliche Schwachstellen für Geräte aus eigener Produktion. Der Patch-Level des veröffentlichten Sicherheitsupdates wird mit 'SMR October-2021 Release 1' für Samsung-Geräte angegeben.
Hersteller (Partner) anderer Geräte wurden einen Monat vor Veröffentlichung dieser Meldung oder früher über die Schwachstellen informiert.
Schwachstellen:
CVE-2019-25045
Schwachstelle in Linux-Kernel ermöglicht u. a. Denial-of-Service-AngriffCVE-2020-10768
Schwachstelle in Linux-Kernel ermöglicht Umgehen von SicherheitsvorkehrungenCVE-2020-11264 CVE-2020-11301
Schwachstellen in Qualcomm-Komponente ermöglichen nicht spezifizierte AngriffeCVE-2020-11303
Schwachstelle in Qualcomm-Komponente ermöglicht nicht spezifizierte AngriffeCVE-2020-15358
Schwachstelle in SQLite ermöglicht Denial-of-Service-AngriffCVE-2020-24587
Schwachstelle in Wi-Fi Standard ermöglicht Ausspähen von InformationenCVE-2020-24588
Schwachstelle in Wi-Fi Standard ermöglicht Darstellen falscher InformationenCVE-2020-25285
Schwachstelle in Linux-Kernel ermöglicht Denial-of-Service-AngriffCVE-2020-26139
Schwachstelle in Wi-Fi-Implementierungen ermöglicht Denial-of-Service-AngriffCVE-2020-26140
Schwachstelle in Wi-Fi-Implementierungen ermöglicht Umgehen von SicherheitsvorkehrungenCVE-2020-26141
Schwachstelle in Wi-Fi-Implementierungen ermöglicht Umgehen von SicherheitsvorkehrungenCVE-2020-26145
Schwachstelle in Wi-Fi-Implementierungen ermöglicht Umgehen von SicherheitsvorkehrungenCVE-2020-26146
Schwachstelle in Wi-Fi-Implementierungen ermöglicht Umgehen von SicherheitsvorkehrungenCVE-2020-26147
Schwachstelle in Wi-Fi-Implementierungen ermöglicht Umgehen von SicherheitsvorkehrungenCVE-2020-29368
Schwachstelle in Linux-Kernel ermöglicht Ausführen beliebigen ProgrammcodesCVE-2020-29660
Schwachstelle in Linux-Kernel ermöglicht u. a. Ausspähen von InformationenCVE-2021-0483
Schwachstelle in Media Framework ermöglicht u. a. Ausführen beliebigen ProgrammcodesCVE-2021-0583
Schwachstelle in Bluetooth ermöglicht PrivilegieneskalationCVE-2021-0643
Schwachstelle in System ermöglicht Ausspähen von InformationenCVE-2021-0651
Schwachstelle in Framework ermöglicht Denial-of-Service-AngriffCVE-2021-0652 CVE-2021-0705 CVE-2021-0708
Schwachstellen in Framework ermöglichen u. a. Ausführen beliebigen ProgrammcodesCVE-2021-0702
Schwachstelle in Framework ermöglicht Ausspähen von InformationenCVE-2021-0703
Schwachstelle in Android Runtime ermöglicht PrivilegieneskalationCVE-2021-0706
Schwachstelle in System ermöglicht Denial-of-Service-AngriffCVE-2021-0707
Schwachstelle in Linux-Kernel ermöglicht PrivilegieneskalationCVE-2021-0870
Schwachstelle in System ermöglicht Ausführen beliebigen Programmcodes mit AdministratorrechtenCVE-2021-0935 CVE-2021-0936 CVE-2021-0937 CVE-2021-0938 CVE-2021-0941
Schwachstellen in Kernel-Komponenten ermöglichen PrivilegieneskalationCVE-2021-0939
Schwachstelle in Pixel-Komponente ermöglicht Ausspähen von InformationenCVE-2021-0940
Schwachstelle in Pixel-Komponente ermöglicht PrivilegieneskalationCVE-2021-1913 CVE-2021-1917 CVE-2021-1932 CVE-2021-1936 CVE-2021-1949 CVE-2021-1959
Schwachstellen in Qualcomm-Komponenten ermöglichen nicht spezifizierte AngriffeCVE-2021-1966 CVE-2021-1967 CVE-2021-1968 CVE-2021-1969
Schwachstellen in Qualcomm-Komponenten ermöglichen nicht spezifizierte AngriffeCVE-2021-1977 CVE-2021-1980 CVE-2021-30305 CVE-2021-30306 CVE-2021-30312
Schwachstellen in Qualcomm-Komponenten ermöglichen nicht spezifizierte AngriffeCVE-2021-1983 CVE-2021-1984 CVE-2021-1985 CVE-2021-30256 CVE-2021-30257 CVE-2021-30258
Schwachstellen in Qualcomm-Komponenten ermöglichen nicht spezifizierte AngriffeCVE-2021-20292
Schwachstelle in Linux-Kernel ermöglicht u. a. Ausführen beliebigen ProgrammcodesCVE-2021-27666
Schwachstelle in Telecommunication-Komponente ermöglicht Ausspähen von InformationenCVE-2021-29155
Schwachstelle in Linux-Kernel ermöglicht Ausspähen von InformationenCVE-2021-29646
Schwachstelle in Linux-Kernel ermöglicht Denial-of-Service-AngriffCVE-2021-29647
Schwachstelle in Linux-Kernel ermöglicht Ausspähen von InformationenCVE-2021-30288 CVE-2021-30291 CVE-2021-30292 CVE-2021-30297 CVE-2021-30302 CVE-2021-30310
Schwachstellen in Qualcomm-Komponenten ermöglichen nicht spezifizierte AngriffeCVE-2021-31916
Schwachstelle in Linux-Kernel ermöglicht u. a. Denial-of-Service-AngriffCVE-2021-3489
Schwachstelle in Linux-Kernel ermöglicht u. a. Ausführen beliebigen ProgrammcodesCVE-2021-3490
Schwachstelle in Linux-Kernel ermöglicht u. a. Ausführen beliebigen ProgrammcodesCVE-2021-38166
Schwachstelle in Linux-Kernel ermöglicht Ausführen beliebigen Programmcodes
© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist
auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese
Webseite.