Google heeft tijdens de maandelijkse patchronde van Android een actief aangevallen zerodaylek in het besturingssysteem verholpen. In maart werd het probleem al in Pixel-telefoons verholpen. De kwetsbaarheid in kwestie wordt aangeduid als CVE-2021-22600 en bevindt zich in de Androidkernel. Via het beveiligingslek kan een aanvaller die al toegang tot het systeem heeft of een malafide app de rechten verhogen.

Het is niet mogelijk om alleen via deze kwetsbaarheid telefoons of tablets op afstand te compromitteren. Naast Android komt Google elke maand ook met een apart beveiligingsbulletin voor de eigen Pixel-telefoons die het aanbiedt. In maart maakte Google bekend dat CVE-2021-22600 actief werd gebruikt bij aanvallen tegen Pixel-telefoons. In de patchronde voor Android deze maand herhaalt Google dat er actief misbruik van het lek plaatsvindt.

Details worden echter niet gegeven. Ook laat Google niet weten waarom het zerodaylek al in maart in Pixel-telefoons werd gepatcht, maar pas deze maand in de generieke Androidversie. In totaal worden er deze maand 37 kwetsbaarheden in Android verholpen. Eén daarvan is als kritiek bestempeld en bevindt zich in de software van Qualcomm. Dit beveiligingslek is echter alleen lokaal te misbruiken.

Patchniveau

Google werkt met zogeheten patchniveaus, waarbij een datum het patchniveau weergeeft. Toestellen die de mei-updates ontvangen zullen '2022-05-01' of '2022-05-05' als patchniveau hebben. Fabrikanten die willen dat hun toestellen dit patchniveau krijgen moeten in dit geval alle updates van het Android-bulletin van mei aan hun eigen updates toevoegen, om die vervolgens onder hun gebruikers uit te rollen. De updates zijn beschikbaar gesteld voor Android 10, 11, 12 en 12L.

Fabrikanten van Androidtoestellen zijn volgens Google tenminste een maand geleden over de nu verholpen kwetsbaarheden ingelicht en hebben in die tijd updates kunnen ontwikkelen. Dat wil echter niet zeggen dat alle Androidtoestellen deze updates zullen ontvangen. Sommige toestellen worden niet meer met updates van de fabrikant ondersteund of de fabrikant brengt de updates op een later moment uit.