Google heeft opnieuw uitgehaald naar Androidfabrikanten om beveiligingsupdates sneller onder gebruikers uit te rollen. Het techbedrijf doet dit in een analyse van een aanval die vorig jaar plaatsvond en waarbij eigenaren van een Samsung-telefoon via vijf kwetsbaarheden werden geïnfecteerd met spyware.
Drie van deze kwetsbaarheden waren al bekend, ook wel n-days genoemd, de overige twee waren zerodaylekken. Het ging onder andere om een kwetsbaarheid die al wel in Google Chrome was gepatcht, maar nog niet in de Samsung-browser. Daarnaast ging het om een beveiligingslek waarvoor chipfabrikant Arm al updates had ontwikkeld, maar die nog niet door Samsung in de eigen Androidversie waren verwerkt op het moment dat de aanval werd ontdekt.
Via de n-days konden de aanvallers code op de Samsung-telefoons uitvoeren. De twee zerodaylekken hielpen bij het omzeilen van de KASLR-beveiligingsmaatregel. Volgens Seth Jenkins van Google Project Zero leidt het vertrouwen op fabrikanten om patches van andere partijen door te voeren tot een fragiel ecosysteem waar een gemiste update tot ernstige kwetsbaarheden op de toestellen van gebruikers kan leiden.
De aanwezigheid van deze kwetsbaarheden in de Androidversies van fabrikanten, die hun eigen versie onderhouden, ondermijnt de inzet van beveiligingsonderzoekers om in veelgebruikte software kwetsbaarheden te ontdekken en hiervoor patches te ontwikkelen, merkt Jenkins op. Hij stelt dat het de veiligheid van Androidgebruikers aanzienlijk zou verbeteren als fabrikanten voor manieren zouden kiezen om updates sneller en betrouwbaarder onder de toestellen van gebruikers uit te rollen. Eind juli deed Google al een zelfde oproep.
Deze posting is gelocked. Reageren is niet meer mogelijk.