Android: Security-Bulletin März 2020 ist da

Google hat den monatlichen Sicherheits-Patch für Android veröffentlicht. Vorab hatte man ja zahlreiche neue Funktionen für das Google Pixel vorgestellt. Normalerweise betont Google immer, dass man keine Informationen habe, dass irgendwelche Sicherheitslücken, die man schloss, vorher aktiv ausgenutzt wurden. Diesen Monat fehlt dieser Satz.

Eine der Sicherheitslücken, die im neuesten Bulletin dokumentiert sind, ist CVE-2020-0069, eine kritische Lücke, welche Millionen von Geräten mit Chipsätzen von MediaTek, betrifft. Eine seit längerem bekannte Lücke, die bereits aktiv ausgenutzt wird. Laut XDA hatte MediaTek so starke Probleme, dass man Google hierbei um Hilfe bat. Zwar konnte man wohl zahlreiche Geräte patchen, doch auf Dutzenden von Geräten war die Schwachstelle weiterhin ausnutzbar.

Unabhängig davon: Das schwerwiegendste der von Google genannten Probleme ist eine kritische Sicherheitslücke im Medien-Framework, die es einem entfernten Angreifer, der eine speziell präparierte Datei verwendet, ermöglichen könnte, beliebigen Code im Kontext eines privilegierten Prozesses auszuführen.

Das monatliche Bulletin enthält immer zwei Sicherheitspatch-Stufen, sodass – so Google – Android-Partner die Flexibilität haben, eine Teilmenge von Schwachstellen, die auf allen Android-Geräten ähnlich sind, schneller zu beheben. Android-Partner werden aber von Google „ermutigt“, alle Probleme in diesem Bulletin zu beheben und die neueste Sicherheitspatch-Ebene zu verwenden. Patch-Level 2020-03-05 oder neuer behebt alle 60 angesprochenen Probleme, 12 sind in Patch-Level 2020-03-01.

Auch das Pixel hat zahlreiche Sicherheitsupdates bekommen: