Androidtelefoons door kritieke kwetsbaarheid op afstand over te nemen
Een kritieke kwetsbaarheid in Android maakt het mogelijk voor aanvallers om toestellen op afstand over te nemen. Google heeft inmiddels een beveiligingsupdate uitgebracht om het probleem te verhelpen. Tijdens de patchcyclus van juni zijn er in totaal 41 beveiligingslekken in het besturingssysteem gepatcht.
Twee kwetsbaarheden in Android-system zijn door Google als kritiek aangemerkt. Het gaat om CVE-2021-0507 en CVE-2021-0516. Via CVE-2021-0516 kan een aanvaller of een malafide app zijn rechten op het toestel verhogen. Het gevaarlijkste beveiligingslek is echter CVE-2021-0507. Via een "speciale transmissie" kan een aanvaller willekeurige code in de context van een geprivilegieerd proces uitvoeren.
Behalve het label "remote code execution" geeft Google geen verdere details. In het verleden is de term "speciale transmissie" echter gebruikt bij bluetooth-kwetsbaarheden. Naast de kritieke kwetsbaarheden in Android zijn er ook drie kritieke lekken in de software van Qualcomm verholpen. Het gaat om een bluetooth-kwetsbaarheid en twee beveiligingslekken in de datamodem.
Patchniveau
Google werkt met zogeheten patchniveaus, waarbij een datum het patchniveau weergeeft. Toestellen die de juni-updates ontvangen zullen '2021-07-01' of '2021-06-05' als patchniveau hebben. Fabrikanten die willen dat hun toestellen dit patchniveau krijgen moeten in dit geval alle updates van het Android-bulletin van juni aan hun eigen updates toevoegen, om die vervolgens onder hun gebruikers uit te rollen. De updates zijn beschikbaar gesteld voor Android 8.1, 9, 10 en 11.
Fabrikanten van Androidtoestellen zijn volgens Google tenminste een maand geleden over de nu verholpen kwetsbaarheden ingelicht en hebben in die tijd updates kunnen ontwikkelen. Dat wil echter niet zeggen dat alle Androidtoestellen deze updates zullen ontvangen. Sommige toestellen worden niet meer met updates van de fabrikant ondersteund of de fabrikant brengt de updates op een later moment uit.
Google: Kijk niet naar ons, dit is een S.E.P. (somebody else's problem)
Conclusie: Android is "flawed by design". En daar zou Google wel op aangesproken moeten worden.
Je kunt ook overstappen naar een alternatief merk; bijvoorbeeld een 2e-hands iPhone voor 100 Euro.
En dan doen verschillende Android telefoon leveranciers huilie huilie.
En dat is een natuurwet. Het is allemaal te groot en deze beperkte ondersteuning van patches gaat op den duur tegen de zin van de massa werken en dan krabben ze zich op hun hoofd hoe dit had kunnen gebeuren.
Zo hebben we heel wat grote namen falliet zien gaan. Het is zo jammer dat ze het licht maar niet zien.
Counting down
It will happen.
Google: Kijk niet naar ons, dit is een S.E.P. (somebody else's problem)
Conclusie: Android is "flawed by design". En daar zou Google wel op aangesproken moeten worden.
Tot die tijd gaat er niks veranderen, de consument is machtig heel machtig, alleen wordt dat vaak niet beseft.
Zelf schaf ik sowieso nooit meer iets aan met Android. iOS te duur en beperkt. Overige (nog) te lastig.
De mens wil bedrogen worden. Octavianus buitte die wetenschap al 'tot de max uit'. (Rome's eerste keizer van 27 v.Chr.-14 n.Chr.)
Je kunt ook overstappen naar een alternatief merk; bijvoorbeeld een 2e-hands iPhone voor 100 Euro.
Je kunt ook overstappen naar een alternatief merk; bijvoorbeeld een 2e-hands iPhone voor 100 Euro.
Mijn 5s kreeg afgelopen week nog een update.
Je gaat geen huis op drijfzand bouwen maar dat is wel hetgeen we met de mobiele platformen de afgelopen jaren gedaan hebben, en ook nog steeds doen.
Na 1,5 - 2 jaar wordt er verwacht dat je een goed werkend toestel vervangt voor een nieuwer model om een beetje veilig te kunnen blijven werken.
Voor mij ook geen nieuw toestel meer over een tijdje en blijf 'm dan wel voor wat basis dingetjes gebruiken.
Maar zeker niet voor allerlei app die ze ons willen opdringen.
Veilig bankieren is al een gok met zo'n toestel.
Ik heb het nou 1x geprobeerd met een Motorola van 100 euro.
Werkt hartstikke leuk allemaal maar gaat met een beetje mazzel nog een half jaar mee.
Je kunt ook overstappen naar een alternatief merk; bijvoorbeeld een 2e-hands iPhone voor 100 Euro.
Apple is te veel een 'walled garden' voor mijn smaak. Ik wil graag zelf mijn apps kunnen installeren (vanaf .apk files) en zelf mijn app winkel kunnen installeren.
Je gaat geen huis op drijfzand bouwen maar dat is wel hetgeen we met de mobiele platformen de afgelopen jaren gedaan hebben, en ook nog steeds doen.
Financiële- en overheidsapps gebruik ik daarom alleen op mijn Windows apparaat. Je kunt kritiek genoeg hebben op de veiligheid van Windows maar MS heeft wel een betrouwbaar updatebeleid. En de bank kan niet zeggen dat ik mijn apparaat niet beveiligd had als ik Windows draai met updates, antivirus en firewall.
Je kunt ook overstappen naar een alternatief merk; bijvoorbeeld een 2e-hands iPhone voor 100 Euro.
Apple is te veel een 'walled garden' voor mijn smaak. Ik wil graag zelf mijn apps kunnen installeren (vanaf .apk files) en zelf mijn app winkel kunnen installeren.
Koop een Pinephone.
Bij PCs doen we toch ook niet anders?
Alleen zo jammer dat je dan volledig afhankelijk bent van de voorkeuren en tijd van een enkeling/klein team om jouw specifieke model up to date te houden. Het afdwingen dat na verlopen van de update-periode vanuit de leverancier de firmware en software vrij gegeven *moet* worden om zo gebruikers in staat te stellen het zelf te doen, zou daar zeker kunnen helpen.
Goh, wat weer een goede inhoudelijk onderbouwde reactie.
Je gaat geen huis op drijfzand bouwen maar dat is wel hetgeen we met de mobiele platformen de afgelopen jaren gedaan hebben, en ook nog steeds doen.
Financiële- en overheidsapps gebruik ik daarom alleen op mijn Windows apparaat. Je kunt kritiek genoeg hebben op de veiligheid van Windows maar MS heeft wel een betrouwbaar updatebeleid. En de bank kan niet zeggen dat ik mijn apparaat niet beveiligd had als ik Windows draai met updates, antivirus en firewall.
Is ook ruk geregeld. Tijd voor de EU om met regelgeving te komen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
