Google heeft tijdens de patchcyclus van januari een dozijn Androidlekken in Nexustoestellen gepatcht, waarvan er vijf als kritiek zijn aangemerkt. Via kritieke kwetsbaarheden kan een aanvaller via e-mail, mms-berichten, het openen van mediabestanden en bezoeken van websites willekeurige code uitvoeren.

In het ergste geval kan het toestel hierdoor worden overgenomen. Ook is het mogelijk om het toestel permanent onbruikbaar te maken. De kritieke kwetsbaarheden bevinden zich in de Mediaserver, misc-sd driver, Imagination Technologies driver, Trustzone en Androidkernel. De afgelopen maanden kreeg Google regelmatig met kwetsbaarheden in de mediaserver te maken. De mediaserver houdt zich bezig met allerlei media-gerelateerde taken, zoals het nemen van foto's, lezen van MP4-bestanden en het opnemen van video's.

Twee kwetsbaarheden in bluetooth en de Androidkernel vallen in de 'high' categorie. Hierdoor kan een kwaadaardige app willekeurige code uitvoeren of is het mogelijk om op afstand een tijdelijke Denial of Service te veroorzaken, zoals het vastlopen of herstarten van het toestel. De resterende vijf lekken zijn als 'moderate' aangemerkt. In dit geval kan een kwaadaardige app lokaal een Denial of Service veroorzaken en zonder toestemming toegang tot gevaarlijke permissies krijgen.

De updates worden over-the-air (OTA) aangeboden en zijn ook als firmware-download verkrijgbaar. Wanneer de nu uitgebrachte updates voor de Androidtoestellen van andere fabrikanten verschijnen is onbekend. Deze fabrikanten werden op 7 december al door Google over de nu gepatchte kwetsbaarheden ingelicht.