2024-0856: Google Android Operating System: Mehrere Schwachstellen ermöglichen u. a. das Ausführen beliebigen Programmcodes

Historie:

Version 1 (2024-04-02 13:59): Neues Advisory
Version 2 (2024-04-03 12:44): Der Hersteller veröffentlicht Details zu weiteren Schwachstellen, welche die Pixel-Hardware betreffen und einem lokalen Angreifer mit niedrigen Privilegien das Ausführen beliebigen Programmcodes, das Eskalieren von Privilegien und das Ausspähen von Informationen ermöglichen. Die Schwachstelle CVE-2024-29740 wird als kritisch eingestuft. Alle Schwachstellen werden mit dem Patch-Level 2024-04-05 behoben.
Version 3 (2024-04-05 12:06): Die CYBERSECURITY & INFRASTRUCTURE SECURITY AGENCY (CISA) hat die Schwachstellen CVE-2024-29745 und CVE-2024-29748 in ihren 'Known Exploited Vulnerabilities Catalog' aufgenommen.

Betroffene Software

Systemsoftware

Betroffene Plattformen

Hardware
Google
Linux

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um Privilegien zu eskalieren, beliebigen Programmcode auszuführen, Denial-of-Service (DoS)-Angriffe und weitere nicht spezifizierte Angriffe durchzuführen. Zudem kann ein Angreifer mehrere Schwachstellen lokal ausnutzen, um Informationen auszuspähen, Privilegien zu eskalieren, beliebigen Programmcode auszuführen und Denial-of-Service (DoS)-Angriffe durchzuführen.

Für die Ausnutzung der meisten Schwachstellen sind keine Privilegien erforderlich. Eine Schwachstelle erfordert die Interaktion eines Benutzers.

Google stellt die Patch-Level 2024-04-01 und 2024-04-05 als Sicherheitsupdates bereit, mit denen die Schwachstellen behoben werden. Der Patch-Level 2024-04-01 behebt dabei Schwachstellen in Framework und System. Der Patch-Level 2024-04-05 behebt weitere Schwachstellen in MediaTek-, Widevine- und Qualcomm-Komponenten.

Der Hersteller Samsung veröffentlicht ein Sicherheitsupdate, mit dem eine Teilmenge der hier referenzierten sowie weitere Schwachstellen behoben werden, die teilweise auch bereits mit früheren Android Security Bulletins adressiert wurden. Der Hersteller behebt zusätzliche Schwachstellen für Geräte aus eigener Produktion. Der Patch-Level des veröffentlichten Sicherheitsupdates wird mit 'SMR APR-2024 Release 1' für Samsung-Geräte angegeben.

Hersteller (Partner) anderer Geräte wurden mindestens einen Monat vor Veröffentlichung dieser Meldung über die Schwachstellen informiert.

Schwachstellen:

CVE-2023-21267

Schwachstelle in Framework und System ermöglicht Ausspähen von Informationen

CVE-2023-28547

Schwachstelle in Qualcomm-Komponente SPS ermöglicht Ausführen beliebigen Programmcodes

CVE-2023-28582

Schwachstelle in Qualcomm Data Modem ermöglicht Ausführen beliebigen Programmcodes

CVE-2023-32890

Schwachstelle in Mediatek-Komponente ermöglicht Denial-of-Service-Angriff