Android Security Bulletin: Google-Geräte: November-Patch ist da

Ja richtig gelesen, Google-Geräte. Denn mit Erscheinen der aktuellen Pixel-Phones wandert Google ab vom vorherigen Term Nexus und bezeichnet alle von Google angebotenen Geräte ab sofort als „Google Devices“. Und heute, am 7. November 2016, erscheint auch direkt der aktuelle Geräte-Patch. Das heißt, dass in den nächsten Tagen die Nexus- und Pixel-Geräte ein frisches Update over the air (OTA) bekommen, alternativ stehen die frischen Geräte-Images (wie man die flasht, beschreiben wir hier) auf der Downloadseite des Projektes bereit. Google teilt mit, dass die Partner bereits am 20. Oktober 2016 oder früher über die Sicherheitsaspekte des Patches informiert wurden, sodass diese auch Maßnahmen ergreifen konnten, ein Update zeitnah vorzubereiten . Der Sourcecode des Patches wird in den nächsten 48 Stunden in das Android Open Source Project (AOSP) einfließen. Seit September 2016 hat Google zwei parallele Patch-Level.

Das Aufteilen der Patches in separate Fixes soll dafür sorgen, dass weitere Hersteller nicht erst alle Probleme gelöst haben müssen, um ein Update an seine Kunden zu verteilen, sondern sich zum Beispiel zuerst den wichtigsten Komponenten zuwenden kann, dafür einen Patch veröffentlicht und die eventuell nicht ganz so dringenden Lücken ein wenig später ausbügelt. Patch-Level 2016-11-05 bietet derzeit die meisten „Criticals“, um diesen String zu tragen, müssen satte zwölf kritische Lücken gefixt sein, sowie außerdem elf als „hoch“ eingestufte Sicherheitslücken. Wie immer gilt daher auch hier: Updates alle mitnehmen, sobald sie angeboten werden, Google denkt sich da schon was bei 😉

Die wohl am meisten dramatische Lücke bestand darin, dass eigentlich geblockter Remote-Code durch diverse Dienste wie Email, Browsing oder MMS beim Verarbeiten von Medien-Daten ausgeführt werden konnte.