Es ist nicht nur Anfang des Jahres, sondern natürlich auch Anfang des Monats, und damit wieder einmal Zeit für ein Android-Sicherheitsupdate. Google hat vor wenigen Stunden mit dem Rollout des Updates für den Monat Januar begonnen und teilt dieses, wie mittlerweile gewohnt, erneut in zwei Teile auf. Ein Teil ist für die aktuellen Pixel- und Nexus-Smartphones gedacht und stopft auch gerätespezifische Lücken, während das zweite Update für alle anderen Smartphones konzipiert ist.
Glücklicherweise gibt es in Android trotz der riesigen Verbreitung des Betriebssystems nur sehr wenige Sicherheitslücken, die tatsächlich ausgenutzt werden und die Masse der Nutzer angreifen. Das bedeutet aber bekanntlich nicht, dass es keine gibt, sondern nur dass die Google-Entwickler diese schneller entdecken als potenzielle Angreifer. Auch in diesem Monat sollen alle gestopften Lücken wieder früh genug entdeckt worden sein, so dass sie nicht ausgenutzt wurden.
So wie in jedem Monat steht auch dieses mal der Android-Mediaserver im Mittelpunkt der Probleme bzw. der Fixes und enthielt wieder viele Updates. Details dazu gibt es direkt bei Google, und wie in jedem Monat kann man glücklicherweise behaupten dass noch keine der entdeckten Lücken ausgenutzt worden ist. Natürlich muss man nun aber auch schnell aktualisieren, damit das so bleibt – was außerhalb des Google-Universums bekanntlich nicht ganz so leicht ist.
The most severe of these issues is a critical security vulnerability in Media framework that could enable a remote attacker using a specially crafted file to execute arbitrary code within the context of a privileged process. The severity assessment is based on the effect that exploiting the vulnerability would possibly have on an affected device, assuming the platform and service mitigations are turned off for development purposes or if successfully bypassed.
We have had no reports of active customer exploitation or abuse of these newly reported issues. Refer to the Android and Google Play Protect mitigations section for details on the Android security platform protections and Google Play Protect, which improve the security of the Android platform.
Auch in diesem Monat gibt es wieder ein separates Update für Pixel- und Nexus-Smartphones, das ab dem morgigen Tag per OTA an alle Besitzer von noch unterstützen Smartphones verteilt wird. Dies enthält die gleichen gestopften Lücken und in einigen Fällen noch einige kleine Updates, die derzeit aber noch nicht spezifiziert sind.
Folgende Google-Smartphones bekommen das Sicherheits-Update
- Pixel 2
- Pixel 2 XL
- Pixel
- Pixel XL
- Pixel C
- Nexus 6P
- Nexus 5X
Wer das Update über OTA nicht abwarten möchte, kann sich die Images für die Pixel- und Nexus-Smartphones auch direkt bei Google herunterladen. Das ist aber in den meisten Fällen nicht notwendig, da das Update ohnehin sehr schnell verteilt wird und bisher keine ausgenutzten Lücken bekannt sind. Details zu allen Lücken gibt es direkt unter folgenden Links, in denen die einzelnen Probleme mit den Komponenten aufgelistet und im Detail erklärt werden.
» Android Security Bulletin Januar 2018
» Pixel / Nexus Security Bulletin Januar 2018
» Factory Images
» OTA Images
UPDATE
» Pixel-Smartphones: Android-Sicherheitsupdate führt zu kleinen, leicht lösbaren, Problemen