2022-0512: Google Android Operating System: Mehrere Schwachstellen ermöglichen u. a. das Ausführen beliebigen Programmcodes

Historie:

Version 1 (2022-03-08 13:02)

Neues Advisory

Betroffene Software

Systemsoftware

Betroffene Plattformen

Hardware
Google
Linux

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen in Google Android 10, 11 und 12 vor Patch-Level 2022-03-05 aus der Ferne ausnutzen, um Privilegien zu eskalieren und nicht spezifizierte Angriffe durchzuführen. Zudem kann ein Angreifer mehrere Schwachstellen lokal ausnutzen, um Informationen auszuspähen, Privilegien zu eskalieren, beliebigen Programmcode auszuführen, Denial-of-Service (DoS)-Angriffe und nicht spezifizierte Angriffe durchzuführen. Ein Angreifer mit physischem Zugriff auf ein betroffenes System kann eine weitere Schwachstelle ausnutzen, um beliebigen Programmcode auszuführen.

Für die Ausnutzung der meisten Schwachstellen sind keine Privilegien erforderlich. Zwei Schwachstellen erfordern die Interaktion eines Benutzers.

Es existieren zusätzliche Schwachstellen in quelloffenen und nicht quelloffenen Komponenten von MediaTek und Qualcomm, welche weitere, nicht spezifizierte Angriffe ermöglichen.

Die Schwachstelle CVE-2021-39708 im Grundsystem, mehrere Schwachstellen in der Pixel-Komponente Modem (CVE-2021-25279, CVE-2021-25478, CVE-2021-25479, CVE-2021-39720, CVE-2021-39723, CVE-2021-39737) sowie die Schwachstellen CVE-2021-1942 und CVE-2021-35110 in nicht quelloffenen Qualcomm-Komponenten werden von Google bzw. Qualcomm als 'kritisch' eingestuft.

Google stellt die Patch-Level 2022-03-01 und 2022-03-05 als Sicherheitsupdates bereit, mit denen die Schwachstellen behoben werden. Der Patch-Level 2022-03-01 behebt dabei Schwachstellen in Google Android Framework, Media Framework, in der Laufzeitumgebung und im Grundsystem. Der Patch-Level 2022-03-05 behebt weitere Schwachstellen im Google Android Framework, im Kernel und in verschiedenen Komponenten von MediaTek und Qualcomm.

Google kündigt für Google Pixel Sicherheitsupdates an und stellt die Firmware-Images über die Entwicklerseite zum Download zur Verfügung. Die Schwachstellen CVE-2021-39667 und CVE-2021-39694 werden auch durch ein Google Play Update adressiert.

Der Hersteller Samsung veröffentlicht ein Sicherheitsupdate, mit dem eine Teilmenge der hier referenzierten sowie weitere Schwachstellen behoben werden, die teilweise auch bereits mit früheren Android Security Bulletins adressiert wurden. Der Hersteller behebt zusätzliche Schwachstellen für Geräte aus eigener Produktion. Der Patch-Level des veröffentlichten Sicherheitsupdates wird mit 'SMR March-2022 Release 1' für Samsung-Geräte angegeben.

Hersteller (Partner) anderer Geräte wurden einen Monat vor Veröffentlichung dieser Meldung oder früher über die Schwachstellen informiert.

Schwachstellen:

CVE-2020-29368

Schwachstelle in Linux-Kernel ermöglicht Ausführen beliebigen Programmcodes

CVE-2021-0957 CVE-2021-39701 CVE-2021-39702 CVE-2021-39703 CVE-2021-39704 CVE-2021-39706 CVE-2021-39707 CVE-2021-39709

Schwachstellen in System ermöglichen Privilegieneskalation

CVE-2021-1942 CVE-2021-35110

Schwachstellen in Qualcomm-Komponenten ermöglichen nicht spezifizierte Angriffe

CVE-2021-1950 CVE-2021-30328 CVE-2021-30329 CVE-2021-30332 CVE-2021-30333

Schwachstellen in Qualcomm-Komponenten ermöglichen nicht spezifizierte Angriffe

CVE-2021-21781

Schwachstelle in Linux-Kernel ermöglicht Ausspähen von Informationen

CVE-2021-25279 CVE-2021-25478 CVE-2021-25479

Schwachstellen in Pixel-Komponente ermöglichen Privilegieneskalation

CVE-2021-30299

Schwachstelle in Qualcomm-Komponente ermöglicht nicht spezifizierte Angriffe

CVE-2021-30331

Schwachstelle in Qualcomm-Komponente ermöglicht nicht spezifizierte Angriffe

CVE-2021-33624

Schwachstelle in Linux-Kernel ermöglicht Ausspähen von Informationen

CVE-2021-35088 CVE-2021-35103 CVE-2021-35105 CVE-2021-35106 CVE-2021-35117

Schwachstellen in Qualcomm-Komponenten ermöglichen nicht spezifizierte Angriffe

CVE-2021-3655

Schwachstelle in Linux-Kernel ermöglicht Ausspähen von Informationen

CVE-2021-37159

Schwachstelle in Linux-Kernel ermöglicht Ausführen beliebigen Programmcodes

CVE-2021-39624 CVE-2021-39690

Schwachstellen in Framework ermöglichen Denial-of-Service-Angriffe

CVE-2021-39667

Schwachstelle in Media Framework ermöglicht Ausspähen von Informationen

CVE-2021-39685

Schwachstelle in Linux-Kernel ermöglicht u. a. Ausführen beliebigen Programmcodes

CVE-2021-39686

Schwachstelle in Linux-Kernel ermöglicht Privilegieneskalation

CVE-2021-39689

Schwachstelle in Android Runtime ermöglicht Privilegieneskalation

CVE-2021-39692 CVE-2021-39693 CVE-2021-39695 CVE-2021-39697

Schwachstellen in Framework ermöglichen Privilegieneskalation

CVE-2021-39694

Schwachstelle in Media Framework ermöglicht Privilegieneskalation

CVE-2021-39698

Schwachstelle in Linux-Kernel ermöglicht Privilegieneskalation

CVE-2021-39705

Schwachstelle in System ermöglicht Ausspähen von Informationen

CVE-2021-39708

Schwachstelle in System ermöglicht Privilegieneskalation

CVE-2021-39710 CVE-2021-39734 CVE-2021-39793

Schwachstellen in Pixel-Komponenten ermöglichen Privilegieneskalation

CVE-2021-39711

Schwachstelle in Kernel-Komponente ermöglicht Ausspähen von Informationen

CVE-2021-39712

Schwachstelle in Kernel-Komponente ermöglicht Privilegieneskalation

CVE-2021-39713

Schwachstelle in Kernel-Komponente ermöglicht Privilegieneskalation

CVE-2021-39714

Schwachstelle in Kernel-Komponente ermöglicht Privilegieneskalation

CVE-2021-39715

Schwachstelle in Kernel-Komponente ermöglicht Ausspähen von Informationen

CVE-2021-39716 CVE-2021-39717 CVE-2021-39722 CVE-2021-39724 CVE-2021-39730

Schwachstellen in Pixel-Komponenten ermöglichen Ausspähen von Informationen

CVE-2021-39718 CVE-2021-39725 CVE-2021-39729 CVE-2021-39731 CVE-2021-39733 CVE-2021-39735

Schwachstellen in Pixel-Komponenten ermöglichen Privilegieneskalation

CVE-2021-39719 CVE-2021-39721 CVE-2021-39732 CVE-2021-39736

Schwachstellen in Pixel-Komponente ermöglichen Privilegieneskalation

CVE-2021-39720 CVE-2021-39723 CVE-2021-39737

Schwachstellen in Pixel-Komponente ermöglichen Ausführen beliebigen Programmcodes

CVE-2021-39726 CVE-2021-39727

Schwachstellen in Pixel-Komponenten ermöglichen Ausspähen von Informationen

CVE-2021-39792

Schwachstelle in Kernel-Komponente ermöglicht Ausspähen von Informationen

CVE-2021-41864

Schwachstelle in Linux-Kernel ermöglicht u. a. Ausführen beliebigen Programmcodes

CVE-2021-43267

Schwachstelle in Linux-Kernel ermöglicht Privilegieneskalation

CVE-2021-43975

Schwachstelle in Linux-Kernel ermöglicht Ausführen beliebigen Programmcodes

CVE-2022-20003

Schwachstelle in Kernel-Komponente ermöglicht Privilegieneskalation

CVE-2022-20047 CVE-2022-20048 CVE-2022-20053

Schwachstellen in MediaTek-Komponenten ermöglichen nicht spezifizierte Angriffe

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.