Google waarschuwt eigenaren van een Androidtelefoon voor twee actief aangevallen zerodaylekken, alsmede een kritieke kwetsbaarheid waarmee toestellen op afstand zijn over te nemen. Tijdens de patchronde van oktober heeft het techbedrijf in totaal 53 beveiligingslekken in Android verholpen.

Twee van deze kwetsbaarheden, CVE-2023-4863 en CVE-2023-421, worden inmiddels actief bij aanvallen gebruikt, zo laat Google weten. CVE-2023-4863 betreft een kritieke kwetsbaarheid in WebP, een door Google ontwikkeld bestandsformaat dat de formaten JPEG, PNG en GIF zou moeten vervangen. Via dit kritieke beveiligingslek is remote code execution mogelijk als er een malafide WebP-afbeelding wordt verwerkt. Verdere details zijn niet gegeven. Eerder kwam Google al met een update voor dit lek in Chrome. Volgens het techbedrijf is de kwetsbaarheid gebruikt door een commerciële spywareleverancier.

De tweede zeroday bevindt zich in de ARM Mali GPU-kerneldriver en maakt het mogelijk voor een aanvaller die al toegang tot de telefoon heeft om toegang tot vrijgemaakt geheugen te krijgen. Verdere details zijn niet door ARM gegeven, behalve dat het beveiligingslek door onderzoekers van Google is gevonden.

Naast de aangevallen zerodaylekken verdient kwetsbaarheid CVE-2023-40129 de aandacht. Dit beveiligingslek bevindt zich in het System-onderdeel van Android een laat een aanvaller op afstand code op de telefoon uitvoeren, zonder dat enige interactie van gebruikers of speciale permissies vereist zijn. Google geeft geen verdere details over het probleem, maar stelt tussen haakjes dat een aanvaller "dichtbij" zou moeten zijn. Mogelijk gaat het dan om een aanval via bluetooth, maar dat is zonder verdere details niet met zekerheid te zeggen.

Naast beveiligingslekken in de eigen Androidcode heeft Google ook verschillende kwetsbaarheden in code van derde partijen verholpen waar Android ook gebruik van maakt. Het gaat onder andere om drie kritieke beveiligingslekken (CVE-2023-24855, CVE-2023-28540 en CVE-2023-33028) in de code van chipgigant Qualcomm die op afstand zijn te misbruiken en onder andere tot een buffer overflow kunnen leiden. Eén van deze kwetsbaarheden bevindt zich in de wifi-firmware.

Patchniveau

Google werkt met zogeheten patchniveaus, waarbij een datum het patchniveau weergeeft. Toestellen die de oktober-updates ontvangen zullen '2023-10-01' of '2023-10-05' als patchniveau hebben. Fabrikanten die willen dat hun toestellen dit patchniveau krijgen moeten in dit geval alle updates van het Android-bulletin van oktober aan hun eigen updates toevoegen, om die vervolgens onder hun gebruikers uit te rollen. De updates zijn beschikbaar gesteld voor Android 11, 12, 12L en 13.

Fabrikanten van Androidtoestellen zijn volgens Google tenminste een maand geleden over de nu verholpen kwetsbaarheden ingelicht en hebben in die tijd updates kunnen ontwikkelen. Dat wil echter niet zeggen dat alle Androidtoestellen deze updates zullen ontvangen. Sommige toestellen worden niet meer met updates van de fabrikant ondersteund of de fabrikant brengt de updates op een later moment uit.