Neues Jahr – ein neues monatliches Android Security Bulletin, herausgegeben von Google. Pixel- und Nexus-Nutzer haben wie gewohnt recht flott Zugriff auf die Neuerungen. Google selber teilt mit, dass man die Partner über die Sicherheitslücken und Probleme bereits am 5. Dezember 2016 oder früher informiert hat. Das aktuell veröffentlichte Android 7.1.1 beinhaltet alle geschlossenen Lücken, die Google im Android Security Bulletin Januar 2017 nennt. Entsprechenden Source Code will man innerhalb der nächsten 48 Stunden an das Android Open Source Project (AOSP) übergeben. Seit September 2016 hat Google zwei parallele Patch-Level.

OTA-Updates: So flasht Ihr sie mit ADB

Das Aufteilen der Patches in separate Fixes soll dafür sorgen, dass weitere Hersteller nicht erst alle Probleme gelöst haben müssen, um ein Update an seine Kunden zu verteilen, sondern sich zum Beispiel zuerst den wichtigsten Komponenten zuwenden kann, dafür einen Patch veröffentlicht und die eventuell nicht ganz so dringenden Lücken ein wenig später ausbügelt. Welche Lücken konkret per Patch-Level geschlossen werden müssen, kommuniziert Google über das Bulletin. So gibt es das „2017-01-05 security patch level“ und das „2017-01-01 security patch level“.

Das Level mit dem 5. Januar weist mehrere Lücken auf, die geschlossen sein müssen, darunter neun kritische. Interessant ist, dass man offensichtlich die Fehler im Mediaserver nicht in den Griff bekommt. Dieser taucht seit Monaten immer wieder im Bulletin mit neuen CVEs auf (aktuell CVE-2017-0381, Remote code execution vulnerability in Mediaserver).

Die Updates werden sicherlich zeitnah bald OTA auf Nexus- und Pixel-Geräten auftauchen, wer selber flashen will (und das ist eigentlich kein Akt), der kann sich bereits die entsprechenden Images ziehen: Komplett-Images & OTA-Dateien. Übrigens: 7.1.1 für das Nexus 6 fehlt weiterhin.

2016 war das Jahr der offengelegten Android-Sicherheitslücken. Mehr wurden bei keinem anderen System bekannt. Das muss nicht heißen, dass das System pauschal unsicher ist, denn die Summe zeigt die bekannten Lücken an – und eben jene sind oder können geschlossen werden. 2015 stand Mac OS X vorne, davor der Internet Explorer.

(danke stanzilla!)