Google heeft tijdens de patchcyclus van maart 71 beveiligingslekken in Android verholpen, waaronder een ernstige kwetsbaarheid waarmee het mogelijk was om Androidtoestellen via een speciaal geprepareerd bestand op afstand over te nemen. Ook zijn er lekken opgelost die het mogelijk maakten om toestellen via een "speciaal gemaakt usb-apparaat" te compromitteren.

Van de 71 kwetsbaarheden die Google deze maand patchte bevinden zich er veertig in "closed-source" onderdelen van chipfabrikant Qualcomm. Zestien van deze beveiligingslekken zijn als ernstig aangemerkt, maar voor verdere details wijst Google naar de beveiligingsbulletins van Qualcomm. In de eigen kwetsbare Androidonderdelen vallen verschillende kwetsbaarheden op.

Het gaat als eerste om een ernstige kwetsbaarheid in het Media-framework. Via een speciaal geprepareerd bestand kan een remote aanvaller willekeurige code uitvoeren in de context van een geprivilegieerd proces. Verschillende kwetsbaarheden in het Android-system en FPC-onderdelen maken het mogelijk voor een kwaadaardige app om zonder interactie van gebruikers aanvullende permissies te krijgen.

Daarnaast zijn er meerdere kwetsbaarheden in de Androidkernel gepatcht. Die maken het mogelijk voor een lokale aanvaller om via een speciaal gemaakt usb-apparaat willekeurige code uit te voeren in de context van een geprivilegieerd proces.

Patchniveau

Google werkt met zogeheten patchniveaus, waarbij een datum het patchniveau weergeeft. Toestellen die de maart-updates ontvangen zullen '2020-03-01' of '2020-03-05' als patchniveau hebben. Fabrikanten die willen dat hun toestellen dit patchniveau krijgen moeten in dit geval alle updates van het Android-bulletin van maart aan hun eigen updates toevoegen, om die vervolgens onder hun gebruikers uit te rollen.

Fabrikanten van Androidtoestellen zijn volgens Google tenminste een maand geleden over de nu verholpen kwetsbaarheden ingelicht en hebben in die tijd updates kunnen ontwikkelen. Dat wil echter niet zeggen dat alle Androidtoestellen deze updates zullen ontvangen. Sommige toestellen worden niet meer met updates van de fabrikant ondersteund of de fabrikant brengt de updates op een later moment uit.