Een kritieke kwetsbaarheid in de software van chipgigant Qualcomm maakt het mogelijk om Androidtelefoons via wifi aan te vallen. Google heeft beveiligingsupdates uitgebracht om het beveiligingslek te verhelpen. Tijdens de patchronde van november kwam Google met updates voor in totaal 39 kwetsbaarheden, zowel in de eigen code als in onderdelen van chipsetfabrikanten waar Android gebruik van maakt.

In de eigen Androidcode waarschuwt Google met name voor een kritieke kwetsbaarheid (CVE-2023-40113) in Android System waardoor een lokale aanvaller of malafide app op het toestel zonder enige verdere rechten gevoelige informatie van gebruikers kan stelen. Verdere details worden niet door Google gegeven, maar kwetsbaarheden die 'local information disclosure' mogelijk maken worden meestal niet als kritiek aangemerkt.

Verder zijn er vier kritieke kwetsbaarheden in de software van Qualcomm verholpen. Twee daarvan (CVE-2023-33045 en CVE-2023-22388) maken remote code execution mogelijk. De impact van beide beveiligingslekken is op een schaal van 1 tot en met 10 beoordeeld met een 9.8. In het geval van CVE-2023-33045 gaat het om een kwetsbaarheid in de wifi-firmware waar meer dan 128 verschillende Qualcomm-chipsets gebruik van maken. Door het versturen van een malafide NAN (Neighbor Awareness Networking) frame kan er memory corruption ontstaan. NAN is een protocol waarmee wifi-apparaten services in de buurt kunnen ontdekken.

Patchniveau

Google werkt met zogeheten patchniveaus, waarbij een datum het patchniveau weergeeft. Toestellen die de november-updates ontvangen zullen '2023-11-01' of '2023-11-05' als patchniveau hebben. Fabrikanten die willen dat hun toestellen dit patchniveau krijgen moeten in dit geval alle updates van het Android-bulletin van november aan hun eigen updates toevoegen, om die vervolgens onder hun gebruikers uit te rollen. De updates zijn beschikbaar gesteld voor Android 11, 12, 12L en 13.

Fabrikanten van Androidtoestellen zijn volgens Google tenminste een maand geleden over de nu verholpen kwetsbaarheden ingelicht en hebben in die tijd updates kunnen ontwikkelen. Dat wil echter niet zeggen dat alle Androidtoestellen deze updates zullen ontvangen. Sommige toestellen worden niet meer met updates van de fabrikant ondersteund of de fabrikant brengt de updates op een later moment uit.