Warnung: Android legt gefährliche Schwachstellen offen, die so riskant wie Zero-Days sind!

Das Android-Ökosystem hat mit einem seit langem bestehenden Problem zu kämpfen, das den Wert und die Nutzung von offengelegten Schwachstellen über lange Zeiträume hinweg erhöht. Google hat kürzlich seinen jährlichen Bericht über Tag-0-Schwachstellen veröffentlicht, in dem dieses Problem hervorgehoben und seine Auswirkungen auf die Sicherheit der Nutzer betont werden. Der Google-Bericht hebt das Problem der n-Tage in Android hervor, die für die Bedrohungsakteure wie Tage 0 funktionieren. Bei diesen n-Tagen handelt es sich um öffentlich bekannte Schwachstellen mit oder ohne verfügbarem Patch. Angreifer können diese Schwachstellen daher monatelang ausnutzen, selbst wenn ein Patch veröffentlicht wurde. Dieses Problem ergibt sich aus der Komplexität des Android-Ökosystems mit großen Lücken bei den Intervallen für Sicherheitsupdates zwischen den verschiedenen Gerätemodellen, kurzen Supportzeiträumen, Unklarheiten bei der Haftung und anderen Problemen. Diese Lücken zwischen Anbietern und Herstellern ermöglichen es, dass öffentlich bekannte Sicherheitslücken als 0-Days funktionieren, da der Nutzer keine Patches erhält und seine einzige Verteidigung darin besteht, das Gerät nicht mehr zu benutzen.

Konkrete Beispiele

Im Jahr 2022 gab es mehrere Probleme dieser Art, die Android betrafen. Beispielsweise wurde die Sicherheitslücke CVE-2022-38181 im ARM Mali GPU dem Android-Sicherheitsteam im Juli 2022 gemeldet, wurde aber von ARM im Oktober 2022 behoben. Das Android-Sicherheitsupdate integrierte diesen Patch jedoch erst im April 2023, also sechs Monate nachdem ARM das Sicherheitsproblem behoben hatte. Zwei weitere Beispiele sind die Sicherheitslücken CVE-2022-3038 und CVE-2022-22706. Die erste wurde im Juni 2022 behoben, jedoch nicht in den Browsern der Anbieter, die auf früheren Versionen von Chrome basieren. Die zweite wurde vom Anbieter im Januar 2022 behoben, aber das Android-Sicherheitsupdate übernahm den Patch erst im Juni 2023 und verzeichnete damit eine Verzögerung von 17 Monaten. Diese Verzögerungen beim Einspielen von Patches machen die Tage n für die Akteure der Bedrohung genauso wertvoll wie die Tage 0. Die technischen Details der Schwachstellen sind bereits veröffentlicht, was es Angreifern erleichtert, sie auszunutzen. Darüber hinaus zeigt Googles Zusammenfassung der Aktivitäten 2022, dass Zero-Day-Bugs im Vergleich zum Vorjahr zurückgegangen sind, aber Varianten bereits gemeldeter Bugs machen mehr als 40 % der entdeckten Zero-Day-Schwachstellen aus.

Schlussfolgerung

Es ist von entscheidender Bedeutung, diese Sicherheitsprobleme im Android-Ökosystem zu berücksichtigen. Die Lücken zwischen Anbietern und Herstellern müssen verkleinert werden, um einen besseren Schutz der Nutzer zu gewährleisten. Sicherheitsupdates müssen schnell und einheitlich auf alle Gerätemodelle angewendet werden. Die Akteure der Branche müssen zusammenarbeiten, um diese Probleme zu lösen und eine sicherere Android-Umgebung für alle zu gewährleisten.Quelle unserer Informationen