Google heeft meerdere kritieke kwetsbaarheden in Android verholpen waardoor het mogelijk was om telefoons via een "speciaal geprepareerde transmissie" over te nemen. Updates zijn beschikbaar gesteld voor Android 8.0, 8.1, 9 en 10. In totaal zijn er met de patchronde van juni 34 kwetsbaarheden in het besturingssysteem verholpen.

Het grootste deel van deze beveiligingslekken bevond zich in de "closed-source" onderdelen van chipfabrikant Qualcomm. Twee van deze lekken zijn door Qualcomm als kritiek bestempeld. Het gaat om kwetsbaarheden die zich voordoen bij het verwerken van modemdata en door een aanvaller op afstand zijn te misbruiken.

Dat geldt ook voor twee kwetsbaarheden in Android System. Door het versturen van een "speciaal geprepareerde transmissie" kan een remote aanvaller willekeurige code uitvoeren in de context van een geprivilegieerd proces. Daarmee is het mogelijk om volledige controle over het toestel te krijgen. Verdere details over deze kwetsbaarheden zijn nog niet door Google gegeven.

Will Dormann van het CERT Coordination Center (CERT/CC) van de Carnegie Mellon Universiteit laat via Twitter weten dat de ene kwetsbaarheid zich in de bluetooth-stack van Android bevindt, wat inhoudt dat Androidtoestellen via bluetooth zijn aan te vallen. De andere kwetsbaarheid bevindt zich in pppd (Point to Point Protocol Daemon). PPP is het protocol voor het opzetten van internetlinks via inbelmodems, DSL-verbindingen en andere soorten point-to-point links. Door het versturen van een Extensible Authentication Protocol (EAP) pakket kan een aanvaller een stack buffer overflow veroorzaken en willekeurige code uitvoeren.

Via de overige kwetsbaarheden hadden kwaadaardige applicaties zonder interactie van gebruikers aanvullende permissies kunnen krijgen. Ook was het voor malafide apps mogelijk om geïsoleerde applicatiedata van andere apps te benaderen. Verschillende kwetsbaarheden in de Androidkernel maakten het mogelijk voor malafide apps om willekeurige code met verhoogde rechten uit te voeren.

Patchniveau

Google werkt met zogeheten patchniveaus, waarbij een datum het patchniveau weergeeft. Toestellen die de juni-updates ontvangen zullen '2020-06-01' of '2020-06-05' als patchniveau hebben. Fabrikanten die willen dat hun toestellen dit patchniveau krijgen moeten in dit geval alle updates van het Android-bulletin van juni aan hun eigen updates toevoegen, om die vervolgens onder hun gebruikers uit te rollen. De updates zijn beschikbaar gesteld voor Android 8.0, 8.1, 9 en 10.

Fabrikanten van Androidtoestellen zijn volgens Google tenminste een maand geleden over de nu verholpen kwetsbaarheden ingelicht en hebben in die tijd updates kunnen ontwikkelen. Dat wil echter niet zeggen dat alle Androidtoestellen deze updates zullen ontvangen. Sommige toestellen worden niet meer met updates van de fabrikant ondersteund of de fabrikant brengt de updates op een later moment uit.