• IT-Karriere:
  • Services:

Security: Google patcht Android-Stagefright-Bugs und Kernel

Google hat zahlreiche Schwachstellen in Android geschlossen, darunter Fehler in der Medienverwaltung und den entsprechenden Bibliotheken. Auch eine Sicherheitslücke im Kernel wurde behoben.

Artikel veröffentlicht am ,
Das Android-Sicherheitsupdate für April ist da.
Das Android-Sicherheitsupdate für April ist da. (Bild: Werner Pluta/Golem.de)

Google hat das Nexus-Sicherheitsupdate für April freigegeben. Darin enthalten sind zahlreiche Verbesserungen für den Medienserver und das Android Media Center, außerdem werden Schwachstellen in der Crypto-Bibliothek Bouncycastle und im Kernel gepatcht. Nach Angaben von Google gibt es keine Hinweise darauf, dass die jetzt geschlossenen Schwachstellen aktiv ausgenutzt würden.

Stellenmarkt
  1. Forschungszentrum Jülich GmbH, Jülich bei Köln
  2. CipSoft GmbH, Regensburg

Zahlreiche Updates betreffen Remote Code Executions in verschiedenen Medien-Codecs und im Medienserver inklusive der Stagefright-Bibliothek. Stagefright sorgt also weiterhin für Beschäftigung bei Googles Ingenieuren, erst vor wenigen Wochen wurde ein Remote-Exploit für den Medienserver vorgestellt.

Auch eine kritische Schwachstelle in DHCPCD wurde ausgebessert. Unter der CVE 2016-1503 finden sich aber bislang keine Details zu der Lücke. Nach Angaben von Google soll ein Angreifer in der Lage sein, aus der Ferne einen Speicherfehler zu provozieren, der dann die Ausführung beliebigen Codes ermöglicht.

Fehler im Kernel gepatcht

Ein Fehler im Android-Kernel ermöglicht nach Angaben von Google durch Rechteeskalation die Ausführung beliebigen Codes innerhalb des Kernels. Die Schwachstelle wurde als kritisch eingestuft, weil sie zu einer permanenten Kompromittierung des Gerätes führen könne, die nur durch Flashen einer sauberen Android-Version behoben werden könne. Der entsprechende Fehler im Kernel ist seit längerem bekannt und wird unter anderem zum Rooten von Geräten genutzt. Google unterbindet das nach eigenen Angaben mit der Verify-Apps-Funktion seit einiger Zeit. Weil man aber einen Bugreport der Sicherheitsfirma Zimperium erhalten habe, dass die Schwachstelle auf einem Nexus-5-Gerät ausgenutzt wurde, wurde die Lücke jetzt gepatcht. Betroffen sind nur Kernel-Versionen vor der Version 3.18.

Golem Akademie
  1. Microsoft 365 Security Workshop
    9.-11. Juni 2021, Online
  2. IT-Sicherheit für Webentwickler
    31. Mai - 1. Juni 2021, online
Weitere IT-Trainings

Ein Fehler in der Exchange-Active-Sync-Implementation für Android kann nach Angaben von Google zu einem Informationsleck führen, die entsprechende Schwachstelle CVE-2016-2415 wurde als hoch eingestuft. Andere mit hoch bewertete Bugfixes betreffen Rechteeskalationen im Bluetooth-Treiber, im Download-Manager und im Qualcomm-Energiemanagement.

Als moderat eingestufte Verbesserungen finden sich in AOSP Mail, in der Cryptobibliothek Bouncycastle und im WLAN-Stack.

An Besitzer von Nexus-Geräten wird das Update ab sofort verteilt, Nutzer anderer Android-Geräte müssen warten, bis die Hersteller die Sicherheitsupdates selbst implementieren und verteilen. Die Patches sind für die Android-Versionen 4.4.4, 5.02, 5.1.1 sowie 6.0 und 6.0.1 verfügbar, wobei nicht alle genannten Patches auch alle gelisteten Android-Versionen betreffen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Top-Angebote
  1. (u. a. Northgard für 7,99€, No Man's Sky für 14,99€, PSN Card 20 Euro [DE] - Playstation...
  2. (u. a. 1m 8K HDMI 2.1 Ultra High Speed 48G 4K@120Hz/8K@60Hz + 1m Cat 8 Netzwerkkabel für 17,90€)
  3. 679€ (inkl. 60€-Rabatt + 60€-Gutschein - Release: 01.06.)

hmuellers 05. Apr 2016

https://de.wikipedia.org/wiki/Rechteausweitung https://de.wikipedia.org/wiki/Implementierung

tg-- 05. Apr 2016

Nur weil MITRE keine Informationen dazu hat, heißt das nicht, dass keine bekannt sind...


Folgen Sie uns
       


Honda E Probe gefahren

Der Honda E ist ein Elektro-Kleinwagen, dessen Design an alte Honda-Modelle aus den 1970er Jahren erinnert.

Honda E Probe gefahren Video aufrufen
Programm für IT-Jobeinstieg: Hoffen auf den Klebeeffekt
Programm für IT-Jobeinstieg
Hoffen auf den Klebeeffekt

Aktuell ist der Jobeinstieg für junge Ingenieure und Informatiker schwer. Um ihnen zu helfen, hat das Land Baden-Württemberg eine interessante Idee: Es macht sich selbst zur Zeitarbeitsfirma.
Ein Bericht von Peter Ilg

  1. Arbeitszeit Das Sechs-Stunden-Experiment bei Sipgate
  2. Neuorientierung im IT-Job Endlich mal machen!
  3. IT-Unternehmen Die richtige Software für ein Projekt finden

Weclapp-CTO Ertan Özdil: Wir dürfen nicht in Schönheit und Perfektion untergehen!
Weclapp-CTO Ertan Özdil
"Wir dürfen nicht in Schönheit und Perfektion untergehen!"

Der CTO von Weclapp träumt von smarter Software, die menschliches Eingreifen in der nächsten ERP-Generation reduziert. Deutschen Perfektionismus hält Ertan Özdil aber für gefährlich.
Ein Interview von Maja Hoock


    Fiat 500 als E-Auto im Test: Kleinstwagen mit großem Potenzial
    Fiat 500 als E-Auto im Test
    Kleinstwagen mit großem Potenzial

    Fiat hat einen neuen 500er entwickelt. Der Kleine fährt elektrisch - und zwar richtig gut.
    Ein Test von Peter Ilg

    1. Vierradlenkung Elektrischer GMC Hummer SUV fährt im Krabbengang seitwärts
    2. MG Cyberster MG B Roadster mit Lasergürtel und Union Jack
    3. Elektroauto E-Auto-Prämie übersteigt in 2021 schon Vorjahressumme

      •  /