Android: Google will Sicherheitslücken schneller schließen lassen

Mit einem neuen Mechanismus sollen kritische Sicherheitslücken in Android schneller geschlossen werden. Dazu probiert Google am Juli-Patchday ein neues Verfahren aus. Das aktuelle Update ist das bislang umfangreichste.

8. Juli 2016 um 09:52 Uhr / Hauke Gierow

Das Android-Update für Juli ist umfangreich - und zweispurig. Bild: Werner Pluta/Golem.de

108 Sicherheitslücken werden mit dem Android Juli-Update geschlossen. Erstmals gibt es jedoch innerhalb eines Monats zwei verschiedene Patchtermine. Eine Gruppe von 33 Sicherheitslücken wurde mit dem Patchdatum 1.7. versehen, alle restlichen Lücken mit dem Datum 5.7..

Google will es Geräteherstellern damit ermöglichen, bestimmte Sicherheitslücken schneller zu patchen, weitere Lücken können dann in einem späteren Update geschlossen werden. Besitzer von Nexus-Geräten haben beide Patches in einem gemeinsamen Update nach Angaben von Google bereits erhalten.

Viele Patches betreffen wieder einmal Androids lückenhaften Medienserver, der in Kombination mit Qualcomm-Chips auch einen Angriff auf die Geräteverschlüsselung von Google ermöglichte. Die aktuell geschlossenen Lücken sind Remote-Code-Executions im Medienserver, in OpenSSL und BoringSSL sowie im Bluetooth-Stack. Außerdem gibt es eine Reihe von Rechteeskalationen in der libpng, im Medienserver und in verschiedenen APIs, in NFC, Bluetooth und zahlreichen weiteren Diensten.

Zweite Gruppe ist aufwändiger zu patchen

Bei der zweiten Gruppe mit insgesamt 75 Updates werden Fehler in den Treibern der Qualcomm GPUs, im WLAN-Treiber von Mediatek, im Videotreiber von Nvidia und in weiteren Diensten behoben. Außerdem ist eine Rechteeskalation im Kernel-Dateisystem möglich. Nach Angaben von Google sind die Updates in der ersten Gruppe "ähnlich bei allen Android-Geräten" so dass diese ohne größeren Aufwand geschlossen werden können. Nur wenn im Betriebssystem das Patch-Level 5. Juli angezeigt wird, sind auch diese Lücken geschlossen.

Grundsätzlich ist Googles Vorhaben zu begrüßen, noch unklar ist allerdings, ob die Patches wirklich schneller ausgeliefert werden. Nach der Stagefright-Sicherheitslücke hatten zahlreiche Hersteller versprochen, monatliche Sicherheitsupdates auszuliefern und diese nicht mehr nur in Kombination mit neuen Android-Versionen anzubieten. Nicht alle Hersteller halten sich jedoch daran.

Samsung , LG und Blackberry haben die Updates bereits angekündigt, die Auslieferung per OTA sollte demnächst beginnen. Neben den Android-Lücken haben die Hersteller zum Teil auch gerätespezifische Lücken gepatcht.