Google waarschuwt eigenaren van een Androidtelefoon voor actief aangevallen usb-kwetsbaarheden en heeft updates uitgebracht om de problemen te verhelpen. Daarnaast zijn ook verschillende kritieke beveiligingslekken in Android gepatcht. De aangevallen kwetsbaarheden zijn CVE-2024-53150 en CVE-2024-53197 en bevinden zich in het usb-onderdeel van de Androidkernel.

Via de twee kwetsbaarheden kan een aanvaller met fysieke toegang tot een Androidtelefoon informatie verkrijgen en rechten verhogen. Onlangs meldde mensenrechtenorganisatie Amnesty International dat ontwikkelaar van forensische software Cellebrite drie kwetsbaarheden in de usb-kerneldrivers van Android heeft gebruikt voor het ontgrendelen van vergrendelde telefoons. Daarbij werd ook CVE-2024-53197 genoemd.

CVE-2024-53150 en CVE-2024-53197 betreffen een heap overflow (write) in een usb-geluidskaartdriver van de Linuxkernel, zo laten de makers van GrapheneOS op X weten. Ze stellen dat beide beveiligingslekken door Cellebrite worden gebruikt om data van vergrendelde Androidtelefoons te halen.

Naast de aangevallen kwetsbaarheden vallen vier andere beveiligingslekken op. Het gaat om CVE-2025-22429, CVE-2025-26416, CVE-2025-22423 en CVE-2024-45551. De eerste drie bevinden zich in de Androidcode en kunnen respectievelijk leiden tot het achterhalen van informatie, verhogen van rechten en een denial of service. Dergelijke kwetsbaarheden worden over het algemeen niet als kritiek bestempeld, maar Google doet dat nu wel. Het techbedrijf geeft echter geen verdere details. CVE-2024-45551 is een kritiek lek in de code van chipfabrikant Qualcomm waar Android gebruik van maakt. Dit lek is alleen lokaal te misbruiken.

Patchniveau

Google werkt met zogeheten patchniveaus, waarbij een datum het patchniveau weergeeft. Toestellen die de april-updates ontvangen zullen '2025-04-01' of '2025-04-05' als patchniveau hebben. Fabrikanten die willen dat hun toestellen dit patchniveau krijgen moeten in dit geval alle updates van het Android-bulletin van april aan hun eigen updates toevoegen, om die vervolgens onder hun gebruikers uit te rollen. De updates zijn beschikbaar gesteld voor Android 13, 14 en 15

Fabrikanten van Androidtoestellen zijn volgens Google tenminste een maand geleden over de nu verholpen kwetsbaarheden ingelicht en hebben in die tijd updates kunnen ontwikkelen. Dat wil echter niet zeggen dat alle Androidtoestellen deze updates zullen ontvangen. Sommige toestellen worden niet meer met updates van de fabrikant ondersteund of de fabrikant brengt de updates op een later moment uit.