Google heeft opnieuw uitgehaald naar Androidfabrikanten om beveiligingsupdates sneller onder gebruikers uit te rollen. Het techbedrijf doet dit in een analyse van een aanval die vorig jaar plaatsvond en waarbij eigenaren van een Samsung-telefoon via vijf kwetsbaarheden werden geïnfecteerd met spyware.
Drie van deze kwetsbaarheden waren al bekend, ook wel n-days genoemd, de overige twee waren zerodaylekken. Het ging onder andere om een kwetsbaarheid die al wel in Google Chrome was gepatcht, maar nog niet in de Samsung-browser. Daarnaast ging het om een beveiligingslek waarvoor chipfabrikant Arm al updates had ontwikkeld, maar die nog niet door Samsung in de eigen Androidversie waren verwerkt op het moment dat de aanval werd ontdekt.
Via de n-days konden de aanvallers code op de Samsung-telefoons uitvoeren. De twee zerodaylekken hielpen bij het omzeilen van de KASLR-beveiligingsmaatregel. Volgens Seth Jenkins van Google Project Zero leidt het vertrouwen op fabrikanten om patches van andere partijen door te voeren tot een fragiel ecosysteem waar een gemiste update tot ernstige kwetsbaarheden op de toestellen van gebruikers kan leiden.
De aanwezigheid van deze kwetsbaarheden in de Androidversies van fabrikanten, die hun eigen versie onderhouden, ondermijnt de inzet van beveiligingsonderzoekers om in veelgebruikte software kwetsbaarheden te ontdekken en hiervoor patches te ontwikkelen, merkt Jenkins op. Hij stelt dat het de veiligheid van Androidgebruikers aanzienlijk zou verbeteren als fabrikanten voor manieren zouden kiezen om updates sneller en betrouwbaarder onder de toestellen van gebruikers uit te rollen. Eind juli deed Google al een zelfde oproep.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.