Kritiek Qualcomm-lek maakt wifi-aanval op Androidtelefoons mogelijk
Een kritieke kwetsbaarheid in de software van chipgigant Qualcomm maakt het mogelijk om Androidtelefoons via wifi aan te vallen. Google heeft beveiligingsupdates uitgebracht om het beveiligingslek te verhelpen. Tijdens de patchronde van november kwam Google met updates voor in totaal 39 kwetsbaarheden, zowel in de eigen code als in onderdelen van chipsetfabrikanten waar Android gebruik van maakt.
In de eigen Androidcode waarschuwt Google met name voor een kritieke kwetsbaarheid (CVE-2023-40113) in Android System waardoor een lokale aanvaller of malafide app op het toestel zonder enige verdere rechten gevoelige informatie van gebruikers kan stelen. Verdere details worden niet door Google gegeven, maar kwetsbaarheden die 'local information disclosure' mogelijk maken worden meestal niet als kritiek aangemerkt.
Verder zijn er vier kritieke kwetsbaarheden in de software van Qualcomm verholpen. Twee daarvan (CVE-2023-33045 en CVE-2023-22388) maken remote code execution mogelijk. De impact van beide beveiligingslekken is op een schaal van 1 tot en met 10 beoordeeld met een 9.8. In het geval van CVE-2023-33045 gaat het om een kwetsbaarheid in de wifi-firmware waar meer dan 128 verschillende Qualcomm-chipsets gebruik van maken. Door het versturen van een malafide NAN (Neighbor Awareness Networking) frame kan er memory corruption ontstaan. NAN is een protocol waarmee wifi-apparaten services in de buurt kunnen ontdekken.
Patchniveau
Google werkt met zogeheten patchniveaus, waarbij een datum het patchniveau weergeeft. Toestellen die de november-updates ontvangen zullen '2023-11-01' of '2023-11-05' als patchniveau hebben. Fabrikanten die willen dat hun toestellen dit patchniveau krijgen moeten in dit geval alle updates van het Android-bulletin van november aan hun eigen updates toevoegen, om die vervolgens onder hun gebruikers uit te rollen. De updates zijn beschikbaar gesteld voor Android 11, 12, 12L en 13.
Fabrikanten van Androidtoestellen zijn volgens Google tenminste een maand geleden over de nu verholpen kwetsbaarheden ingelicht en hebben in die tijd updates kunnen ontwikkelen. Dat wil echter niet zeggen dat alle Androidtoestellen deze updates zullen ontvangen. Sommige toestellen worden niet meer met updates van de fabrikant ondersteund of de fabrikant brengt de updates op een later moment uit.
wannneer ik een nvidia driver of amd driver of intel.driver update kan ik dat zelf doen en afgezien van nvidia werkt het allemaal daarna nog, iig zonder aanpassingen..
waarom kan een mega toko als alfabet niet gewoon een os maken waar dit in kan?
tis niet ongewoon dat er lekken zitten in software, waarom zou dit niet gefixed kunnen worden zonder dat er iets stuk gaat?
webkit wordt ook geupdate om de haverklap... als je zoiets kunt updaten.....
voor het laten zitten van dergelijke kwetsbaarheden?
Security is echt niet gegarandeerd voor iedereen en op alle niveaus, hoor.
Er zijn immers "gelijke en meer gelijke dieren" op deze planeet.
Waarom zijn mensen toch altijd weer te goed van vertrouwen,
waar het overheden en machthebbers of grootgraaiers betreft?
Vertrouw op G*d, maar houdt je code op slot. (variant op een bekend gezegde)
wannneer ik een nvidia driver of amd driver of intel.driver update kan ik dat zelf doen en afgezien van nvidia werkt het allemaal daarna nog, iig zonder aanpassingen..
waarom kan een mega toko als alfabet niet gewoon een os maken waar dit in kan?
tis niet ongewoon dat er lekken zitten in software, waarom zou dit niet gefixed kunnen worden zonder dat er iets stuk gaat?
webkit wordt ook geupdate om de haverklap... als je zoiets kunt updaten.....
De update, 32Mb, stond al vrij snel klaar.
Samsung doet er beduidend langer over om de update beschikbaar te maken.
Is tevens veel groter in omvang.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
