Er is een nieuwe kwetsbaarheid ontdekt in Android. Die stelt kwaadwillenden ertoe in staat om een apparaat over te nemen door simpelweg een PNG-bestand te infecteren met malware. De kwetsbaarheid is van invloed op Android 7.0 Nougat tot en met Android 9.0 Pie.
Google berichtte in zijn meest recente Android Security Bulletin over de kwetsbaarheid. Het bedrijf maakte maar weinig details bekend over de manier waarop de kwetsbaarheid precies werkt. Het stelde enkel dat deze steunt op Androids Framework. Er zijn geen gevallen bekend waarin de kwetsbaarheid ook daadwerkelijk uitgebuit is.
Reeds opgelost
De kwetsbaarheid is volgens Google al opgelost met de February Android Open Source Project repository. Maar in tegenstelling tot Apple-apparaten, waarbij een nieuwe update van iOS meteen naar alle apparaten die daarvoor in aanmerking komen uitgerold wordt, is het proces bij Android minder soepel. Dat komt doordat fabrikanten de update zelf moeten uitbrengen naar smartphones en tablets. Het gevolg daarvan is dat Android-gebruikers die geen Google-apparaat gebruiken, mogelijk nog enkele maanden moeten wachten tot ze de update krijgen – als ze die überhaupt al krijgen.
Hoe de kwetsbaarheid precies werkt is niet zeker. Wel lijkt het te maken te hebben met de manier waarop Android afbeeldingen verwerkt. Dat stelt althans Craig Young, een veiligheidsonderzoeker die voor Tripwire werkt tegenover SiliconAngle. “Sinds Stagefright, is er veel werk verricht om libStagefright en andere mediaservercomponenten te isoleren, maar het lijkt er niet op dat de Skia Graphics Library dezelfde behandeling gekregen heeft.” En dus vindt Young het alarmerend nieuws om te krijgen.
De Skia Graphics Library is een open-source 2D graphics library die dienst doet als de grafische engine van Google Chrome, Chrome OS, Android, Mozilla Firefox en Firefox OS. Of die andere platformen buiten Android ook te maken hebben met deze kwetsbaarheid is niet zeker. Maar duidelijk is wel dat er nog werk aan de winkel is.
18 uur geleden
