2022-0753: Google Android Operating System: Mehrere Schwachstellen ermöglichen u. a. die Eskalation von Privilegien

Historie:

Version 1 (2022-04-06 11:00): Neues Advisory

Betroffene Software

Systemsoftware

Betroffene Plattformen

Hardware
Google
Linux

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen in Google Android 10, 11, 12 und 12L vor Patch-Level 2022-04-05 aus der Ferne ausnutzen, um Informationen auszuspähen und einen Denial-of-Service (DoS)-Angriff durchzuführen. Mehrere weitere Schwachstellen ermöglichen es einem Angreifer, lokal Informationen auszuspähen, Privilegien zu eskalieren und beliebigen Programmcode auszuführen. Für die Ausnutzung der Schwachstellen sind unterschiedliche Privilegien erforderlich. Mehrere Schwachstellen erfordern die Interaktion eines Benutzers.

Es existieren zusätzliche Schwachstellen in quelloffenen und nicht quelloffenen Komponenten von MediaTek und Qualcomm, welche weitere, nicht spezifizierte Angriffe ermöglichen.

Die Schwachstellen CVE-2021-35081, CVE-2021-35112 und CVE-2021-35123 in quelloffenen sowie CVE-2021-30339, CVE-2021-30341, CVE-2021-30342, CVE-2021-30343, CVE-2021-30347 und CVE-2021-35104 in nicht quelloffenen Qualcomm-Komponenten werden vom Hersteller als 'kritisch' eingestuft.

Google stellt die Patch-Level 2022-04-01 und 2022-04-05 als Sicherheitsupdates bereit, mit denen die Schwachstellen behoben werden. Der Patch-Level 2022-04-01 behebt dabei Schwachstellen in Google Android Framework, Media Framework und im Grundsystem. Der Patch-Level 2022-04-05 behebt weitere Schwachstellen im Grundsystem, in Kernelkomponenten und in verschiedenen Komponenten von MediaTek und Qualcomm.

Google kündigt für Google Pixel Sicherheitsupdates an und stellt die Firmware-Images über die Entwicklerseite zum Download zur Verfügung. Die Schwachstellen CVE-2021-39795 und CVE-2021-39803 werden auch durch ein Google Play Update adressiert.

Der Hersteller Samsung veröffentlicht ein Sicherheitsupdate, mit dem eine Teilmenge der hier referenzierten sowie weitere Schwachstellen behoben werden, die teilweise auch bereits mit früheren Android Security Bulletins adressiert wurden. Der Hersteller behebt zusätzliche Schwachstellen für Geräte aus eigener Produktion. Der Patch-Level des veröffentlichten Sicherheitsupdates wird mit 'SMR April-2022 Release 1' für Samsung-Geräte angegeben.

Hersteller (Partner) anderer Geräte wurden einen Monat vor Veröffentlichung dieser Meldung oder früher über die Schwachstellen informiert.

Schwachstellen:

CVE-2020-13844

Schwachstelle in ARM-Prozessoren ermöglicht Ausspähen von Informationen

CVE-2021-0694 CVE-2021-39794 CVE-2021-39795 CVE-2021-39796 CVE-2021-39797 CVE-2021-39798 CVE-2021-39799

Schwachstellen in Framework ermöglichen Privilegieneskalation

CVE-2021-0707

Schwachstelle in Linux-Kernel ermöglicht Privilegieneskalation