Bug in Surfaceflinger: Android-Displayserver kann aus der Ferne Code ausführen

Mit dem Februar-Patch schließt Google zahlreiche Sicherheitslücken in Android. Kritisch sind dabei Lücken im Kernel-Dateisystem, im Displayserver Surfaceflinger und - fast schon traditionell - im Medienserver sowie der Libstagefright.

Artikel veröffentlicht am ,
Der kleine Androide wird im Februar wieder ordentlich gepatcht.
Der kleine Androide wird im Februar wieder ordentlich gepatcht. (Bild: Werner Pluta/Golem.de)

Google behebt Schwachstellen in zahlreichen Android-Komponenten und in den proprietären Gerätetreibern von Qualcomm, Nvidia und Broadcom. Das Februar-Update kommt in zwei Stufen, die mit den Patchleveln 2017-02-01 und 2017-02-05 bezeichnet sind, wobei das zweite Level fast ausschließlich Schwachstellen in verschiedenen Gerätetreibern adressiert.

Stellenmarkt
  1. SAP Consultant (m/w/d)
    ATCP Management GmbH, Berlin
  2. Systemadministrator (m/w/d)
    ECKware GmbH, München
Detailsuche

Eine Lücke in Surfaceflinger ermöglicht es einem Angreifer offenbar, aus der Ferne Code auszuführen. Surfaceflinger ist dafür zuständig, von einzelnen Apps gerenderte Bilder aus dem jeweiligen Buffer abzuholen und sie an den Hardwarecomposer weiterzugeben. Wie genau die Remote Code Execution funktioniert, ist noch nicht bekannt, die entsprechende CVE-2017-0405 enthält noch keine Details.

Mal wieder der Medienserver

Weitere Möglichkeiten zur Codeausführung bieten der Medienserver (CVE-2017-0406, CVE-2017-0407), die aus vielen vorherigen Patches bekannte Libstagefright (CVE-2017-0409) und das Java-Framework Libgdx, das vor allem in der Spieleentwicklung eingesetzt wird. Auch wenn die Lücke nur mit "hoch" eingestuft ist, könnte sie aktiv ausgenutzt werden. Immer wieder wird Android-Malware in Spielen versteckt, die sich vor allem an Kinder richten.

Weitere Lücken gibt es in den Kommunikationsprogrammen Aosp Mail (CVE-2017-0420) und Aosp Messaging (CVE-2017-0413, CVE-2017-0414). Erneut von zahlreichen Sicherheitsproblemen betroffen sind die Treiber der Hardwarezulieferer. Kritische Fehler finden sich in Qualcomms Crypto-Treiber, in Nvidias-GPU-Treiber und in verschiedenen Netzwerkkomponenten.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


sp1derclaw 09. Feb 2017

Das halte ich für begrenzt möglich. Ich habe mir aufgrund dieses Schemas das Moto G4...

torrbox 08. Feb 2017

Haben die gleichen Specs wie 500¤ Smartphones mit europäischem Fantasiepreis und ich...

Bigfoo29 08. Feb 2017

Da geb ich Dir Recht. Ein Blob ist ein Blob. Und das ist per Definition schlecht. Aber...



Aktuell auf der Startseite von Golem.de
Kitty Lixo
Nach Sex mit Mitarbeitern Instagram-Account zurückerhalten

Laut einer Sexdarstellerin muss man nur die richtigen Leute bei Facebook sehr intim kennen, um seinen Instagram-Account immer wieder zurückzubekommen.

Kitty Lixo: Nach Sex mit Mitarbeitern Instagram-Account zurückerhalten
Artikel
  1. Ebay-Kleinanzeigen: Im Chat mit den Phishing-Betrügern
    Ebay-Kleinanzeigen
    Im Chat mit den Phishing-Betrügern

    Wenn man bestimmte Anzeigen in Kleinanzeigenportalen aufgibt, hat man sofort einen Betrüger an der Backe. Die Polizei kann kaum etwas dagegen tun.
    Ein Bericht von Friedhelm Greis

  2. Autos: Mercedes' Luxuskurs könnte das Aus für A- und B-Klasse sein
    Autos
    Mercedes' Luxuskurs könnte das Aus für A- und B-Klasse sein

    Mercedes definiert sich neu als Luxuskonzern. Das könnte auch das Ende für die Einsteiger-Modelle bedeuten, weil mit diesen kaum Geld zu verdienen ist.

  3. Ericsson und Telia Norway: Fast 4 GBit/s in 26-GHz-Netz erreicht
    Ericsson und Telia Norway
    Fast 4 GBit/s in 26-GHz-Netz erreicht

    26-GHz-Netz-Antennen erreichen in Norwegen Höchstwerte bei der Datenübertragung. Die 5G-Ausrüstung kommt von Ericsson.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Cyber Week: Bis zu 87€ Rabatt auf SSDs • PNY RTX 3080 12GB günstig wie nie: 974€ • Razer Basilisk V3 Gaming-Maus 44,99€ • PS5-Controller + Samsung SSD 1TB 176,58€ • MindStar (u. a. MSI RTX 3090 24GB Suprim X 1.790€) • Gigabyte Waterforce Mainboard günstig wie nie: 464,29€ [Werbung]
    •  /