Google waarschuwt bezitters van een Androidtelefoon voor twee kritieke kwetsbaarheden waardoor het toestel op afstand en zonder enige interactie van gebruikers is over te nemen. Er zijn beveiligingsupdates verschenen om de problemen te verhelpen. De twee kwetsbaarheden, aangeduid als CVE-2023-21085 en CVE-2023-21096, bevinden zich in het Android System.

Google geeft geen details over de beveiligingslekken, behalve dat die remote code execution zonder interactie van de gebruiker mogelijk maken. Een aanvaller zou zich wel in de buurt van het slachtoffer moeten bevinden. Dat kan op een aanval via bijvoorbeeld bluetooth duiden, maar zonder verdere informatie is dit niet met zekerheid te zeggen. Vorige maand kwam Google ook al met updates voor twee kritieke kwetsbaarheden in het System-onderdeel van Android waardoor remote code execution mogelijk is.

Naast de twee kritieke lekken in de Androidcode zijn er deze maand ook vier kritieke kwetsbaarheden in onderdelen van chipfabrikant Qualcomm verholpen. Geen van deze beveiligingslekken is echter op afstand te misbruiken. Een aanvaller moet al toegang tot het toestel hebben. In totaal heeft Google deze maand 68 kwetsbaarheden in Android gerepareerd.

Patchniveau

Google werkt met zogeheten patchniveaus, waarbij een datum het patchniveau weergeeft. Toestellen die de april-updates ontvangen zullen '2023-04-01' of '2023-04-05' als patchniveau hebben. Fabrikanten die willen dat hun toestellen dit patchniveau krijgen moeten in dit geval alle updates van het Android-bulletin van april aan hun eigen updates toevoegen, om die vervolgens onder hun gebruikers uit te rollen. De updates zijn beschikbaar gesteld voor Android 11, 12, 12L en 13.

Fabrikanten van Androidtoestellen zijn volgens Google tenminste een maand geleden over de nu verholpen kwetsbaarheden ingelicht en hebben in die tijd updates kunnen ontwikkelen. Dat wil echter niet zeggen dat alle Androidtoestellen deze updates zullen ontvangen. Sommige toestellen worden niet meer met updates van de fabrikant ondersteund of de fabrikant brengt de updates op een later moment uit.