Tijdens de maandelijkse patchcyclus van mei heeft Google meerdere kritieke kwetsbaarheden in Android verholpen waardoor een aanvaller in het ergste geval kwetsbare toestellen op afstand kan overnemen. In totaal zijn er deze maand 42 beveiligingslekken in het mobiele besturingssysteem gedicht.

Drie daarvan zijn door Google als kritiek bestempeld en bevinden zich in Android System. De kwetsbaarheden maken het mogelijk voor een remote aanvaller om via een speciaal geprepareerd bestand willekeurige code op het toestel uit te voeren. De overige kwetsbaarheden maken het onder andere mogelijk voor malafide apps om zonder interactie van gebruikers aanvullende permissies te krijgen en applicatiedata van andere apps te benaderen.

Naast kwetsbaarheden in de eigen Androidcode verhelpt Google met de maandelijkse patchronde ook kwetsbaarheden in onderdelen van chipsetfabrikanten waar Android gebruik van maakt. Het gaat dan om bedrijven als ARM, AMLogic, Broadcom, MediaTek en Qualcomm. Deze maand is in de software van de chipfabrikanten één kritieke kwetsbaarheid gepatcht. Het gaat om CVE-2021-0467, een beveiligingslek in de AMLogic-bootrom waardoor een aanvaller willekeurige code op bootroom-niveau kan uitvoeren.

Patchniveau

Google werkt met zogeheten patchniveaus, waarbij een datum het patchniveau weergeeft. Toestellen die de mei-updates ontvangen zullen '2021-05-01' of '2021-05-05' als patchniveau hebben. Fabrikanten die willen dat hun toestellen dit patchniveau krijgen moeten in dit geval alle updates van het Android-bulletin van mei aan hun eigen updates toevoegen, om die vervolgens onder hun gebruikers uit te rollen. De updates zijn beschikbaar gesteld voor Android 8.1, 9, 10 en 11.

Fabrikanten van Androidtoestellen zijn volgens Google tenminste een maand geleden over de nu verholpen kwetsbaarheden ingelicht en hebben in die tijd updates kunnen ontwikkelen. Dat wil echter niet zeggen dat alle Androidtoestellen deze updates zullen ontvangen. Sommige toestellen worden niet meer met updates van de fabrikant ondersteund of de fabrikant brengt de updates op een later moment uit.