Google schließt Zero-Day-Lücke in Android

Google hat einen Patch für eine Zero-Day-Lücke in Android veröffentlicht. Die Schwachstelle mit der Kennung CVE-2024-53104 steckt im Treiber USB Video Class (UVC), der wiederum zum Kernel gehört. Die Schwachstelle lässt sich offenbar mit speziell gestalteten Videos ausnutzen. Ein Angreifer kann so unter Umständen höhere Rechte als die des aktuellen Benutzers erhalten.

Der Fix für die Lücke ist allerdings in der Sicherheitspatch-Ebene 5. Februar enthalten. Die meisten Android-Geräte werden den Patch folglich erst frühestens ab März erhalten, da fast alle Android-Partner von Google in ihre Februar-Updates lediglich die Sicherheitspatch-Ebene 1. Februar einbauen. Google selbst warnt vor wenigen zielgerichteten Angriffen, bei denen die Schwachstelle ausgenutzt wird.

Insgesamt bringt der Februar-Patchday für Android Fixes für 46 Anfälligkeiten. Mit der Sicherheitspatch-Ebene 1. Februar werden Löcher in den OS-Versionen 12, 12L, 13, 14 und 15 gestopft. Betroffen sind die Komponenten Framework, Platform und System. Darüber hinaus erhalten Geräte mit der Sicherheitspatch-Ebene 5. Februar Korrekturen für den Kernel und Komponenten von ARM, Imagination Technologies, MediaTek, Unisoc und Qualcomm.

Als kritisch wird hingegen nur eine Sicherheitslücke eingestuft. Den höchsten Schweregrad hat ein Fehler in der WLAN-Komponente von Qualcomm.

Geräteherstellern liegen die Details zu den Patches bereits seit mindestens 30 Tagen vor. Zudem wurden die Code-Änderungen an das Android Open Source Project übergeben. Je nach Hersteller erhalten Nutzer die Updates in den kommenden Tagen und Wochen für updateberechtigte Smartphones und Tablets. Die Verteilung erfolgt in der Regel Over-the-Air.