Google heeft buiten de maandelijkse patchcyclus om een ernstig beveiligingslek in Android gepatcht, zo heeft het bedrijf via de Android Security Updates group bekendgemaakt. Het gaat om een kwetsbaarheid in de Android-kernel waardoor een kwaadaardige applicatie rootrechten kan krijgen.

Een applicatie die hier misbruik van maakt is door beveiligingsbedrijf Zimperium ontdekt, dat vervolgens Google waarschuwde. Volgens Google gaat het om een bekende kwetsbaarheid in de Linux-kernel, die vorig jaar februari werd gepatcht. Vorige maand werd echter duidelijk dat het beveiligingslek ook in Android kan worden aangevallen, waarop Google een beveiligingsupdate ontwikkelde. Die update zou tijdens één van de geplande maandelijkse patchrondes worden uitgerold.

Begin maart werd echter duidelijk dat er een applicatie was die de kwetsbaarheid gebruikte om een Nexus 5-toestel te rooten. Hiervoor is het wel vereist dat de gebruiker eerst zelf een dergelijke applicatie installeert. Doordat de kwetsbaarheid het mogelijk maakt voor een app om rootrechten te krijgen en het mogelijk is om vervolgens willekeurige code uit te voeren en zo het toestel permanent te compromitteren, heeft Google het lek als ernstig bestempeld en nu een noodpatch uitgerold.

Om gebruikers te beschermen is de Verify Apps-beveiliging van Android geüpdatet, zodat bij Google bekende apps die misbruik van het lek proberen te maken worden geblokkeerd. Het gaat dan om apps van zowel Google Play als daarbuiten. De beveiligingsupdate om de kwetsbaarheid te verhelpen wordt nu uitgerold onder Nexus-toestellen. Wanneer andere fabrikanten de update onder hun gebruikers uitrollen is onbekend. De kwetsbaarheid is aanwezig in alle ongepatchte Android-apparaten met kernelversies 3.4, 3.10 en 3.14. Android-toestellen met kernelversie 3.18 of nieuwer zijn niet kwetsbaar.