Installeer de beveiliginspatch van oktober zo snel mogelijk.

Serieus beveiligingslek in Android treft veel smartphones

Het is vandaag duidelijk geworden dat een groot aantal smartphones momenteel een serieus beveiligingslek hebben. In december 2017 werd dit lek al eens ontdekt en werd toen direct gedicht door Google. Onderzoekers hebben nu echter geconstateerd dat het lek zich wederom voordoet. Het gaat hier dan om smartphones die werken op Android 8.x of later.

Beveiligingslek

Het lek wat gevonden is kan grote gevolgen hebben voor jouw privacy en de werking van de smartphone. Het lek is gevonden in de broncode van Android. Een hacker wordt met dit lek in staat gesteld om data te vergaren op de smartphone of zelfs wijzigingen te doen. Google’s eigen Project Zero team heeft het lek inmiddels ontdekt. Volgens de Threat Analysis Group (TAG) wordt het lek momenteel nog steeds actief gebruikt om zo toegang te krijgen tot smartphones. Juist hierdoor spreken wij over een ‘zero-day vulnerability’. Elke dag dat dit lek nog openbaar is, is feitelijk een dag teveel.

Smartphones

Voor zover bekend gaat het momenteel om een handvol smartphones die blootgesteld staan aan dit lek. Google meldt overigens wel dat het lek zich mogelijk ook op andere smartphones voordoet.

    Google Pixel 2 met Android 9 en Android 10 preview
    Huawei P20
    Xiaomi Redmi 5A
    Xiaomi Redmi Note 5
    Xiaomi A1
    Oppo A3
    Moto Z3
    LG smartphones die werken op Android 8
    Samsung Galaxy S7
    Samsung Galaxy S8
    Samsung Galaxy S9

NSO Group

Threat Analysis Group (TAG) meldt dat de NSO Group achter deze actuele aanvallen zit. Zij staan er juist om bekend dat zij tools verkopen zoals exploits. Dit laatste is noodzakelijk om toegang te krijgen tot bijvoorbeeld een Android smartphone. Uiteraard is het bedrijf ook benaderd voor een reactie. Zij ontkennen deze aantijging.

“NSO did not sell and will never sell exploits or vulnerabilities. This exploit has nothing to do with NSO; our work is focused on the development of products designed to help licensed intelligence and law enforcement agencies save lives.”

Security update oktober

Volgens een woordvoerder van het Android Open Source project moet een lek aan bepaalde voorwaarden voldoen. Enkel dan wordt dit met de hoogste spoed opgelost. Aan deze eisen voldoet dit beveiligingslek.

“This issue is rated as High severity on Android and by itself requires installation of a malicious application for potential exploitation. Any other vectors, such as via web browser, require chaining with an additional exploit. We have notified Android partners and the patch is available on the Android Common Kernel. Pixel 3 and 3a devices are not vulnerable while Pixel 1 and 2 devices will be receiving updates for this issue as part of the October update.”

Google is, vanwege hun eigen policy, verplicht om dit beveiligingslek binnen zeven werkdagen publiekelijk kenbaar te maken. Ze mogen dit echter ook vermelden in een patch als deze binnen de gestelde zeven werkdagen wordt aangeboden. Vermoedelijk zal Google dit laatste doen, aangezien de beveiligingsupdate voor oktober aanstaande is. Wanneer deze geïnstalleerd wordt zal de smartphone weer een stuk veiliger zijn.

Paul Herps

Paul is een echte telecomfreak. Sinds de opkomst van mobiele telefonie in Nederland was hij er bij. Geen enkel nieuws ontgaat en is daarnaast ook niet te beroerd om verder onderzoek te doen.

Voeg reactie toe

Deze website gebruikt Akismet om spam te verminderen. Bekijk hoe je reactie-gegevens worden verwerkt.

Volg ons

Volg ons direct op Facebook of Twitter en blijf continu op de hoogte van het laatste nieuws.