Google patcht laatste Quadrooter-lekken in Android

Google heeft de laatste Quadrooter-lekken gedicht met een nieuwe patchronde. Dat schrijft het bedrijf in zijn laatste security bulletin. Twee van de in totaal vier lekken waren nog onopgelost. Ook legt Google uit hoe het Stagefright-lek in Nougat wordt tegengegaan.

Bij de onlangs gedichte lekken gaat het om cve-2016-5340 en cve-2016-2059, zo vermeldt het bericht van Google. Het eerste lek bevond zich in het Android-subsysteem voor de allocatie van geheugen en maakte het mogelijk voor een aanvaller om willekeurige code uit te voeren. Het tweede lek zat in de ipc_router, die de onderlinge communicatie tussen Qualcomm-onderdelen afhandelt. Deze kwetsbaarheden zijn onderdeel van de vier lekken die samen de naam Quadrooter hebben gekregen.

Zij werden in augustus door het beveiligingsbedrijf Check Point ontdekt en bevinden zich in de Qualcomm-drivers voor Android. De eerste schatting van het bedrijf was dat het lek 'honderden miljoenen' toestellen zou treffen, maar dit werd later tegengesproken door Google. Zo stelde Google dat apparaten met Android 4.2 of hoger beschermd zijn door middel van de 'verify apps'-functie, hoewel ze nog wel kwetsbaar zijn. In eerste instantie werd vermeld dat drie van de vier Quadrooter-kwetsbaarheden al waren gedicht, maar van twee lekken was nog niet bekend wanneer er een patch zou komen.

In een post van het Android-beveiligingsteam heeft Google daarnaast uitgelegd hoe het Stagefright-lek, dat in feite bestaat uit verschillende kwetsbaarheden, in de laatste Nougat-variant van Android is aangepakt. Het team legt uit dat het daarvoor de mediaserver opnieuw heeft opgebouwd. In 2015 kwam aan het licht dat het Stagefright-lek zich in dit onderdeel van Android bevond en een aanvaller in staat stelde om code uit te voeren op het apparaat van het slachtoffer, bijvoorbeeld aan de hand van een speciaal mms-bericht.

Om dit soort aanvallen tegen te gaan is er in Nougat voor gekozen om een systeem te ontwikkelen voor het detecteren van integer overflows, die kunnen leiden tot het uitvoeren van kwaadaardige code. Zodra een dergelijk incident wordt opgemerkt, sluit Android het desbetreffende proces af, zo legt het beveiligingsteam uit. Daarnaast is de media stack verdeeld in verschillende componenten die allemaal zijn voorzien van een eigen sandbox met beperkte rechten. Op die manier heeft een aanvaller eveneens beperkte toegang en is het lastiger om de kernel aan te vallen.

Overige verbeteringen vonden onder andere plaats in Verified Boot, waardoor gekraakte apparaten niet meer starten, en in aslr. Daarmee wordt een buffer overflow-aanval bemoeilijkt.

Reacties (61)

Overige verbeteringen vonden onder andere plaats in Verified Boot, waardoor gekraakte apparaten niet meer starten

Dus het starten van een 'ge-root' apparaat is niet langer mogelijk ? Niet echt een verbetering als je het mij vraagt ...

Bootloader unlocken en dan ben je klaar. Dit is meer als je zonder bootloader unlocken (wat een extern process is) system files hebt gewijzigd via een lek. Dat zal een gebruiker niet bewust gaan doen (waarom zou je), dus dan is het kwaadwillend geweest. Dan moet je eerst je telefoon weer naar een legit versie laten zetten in de winkel of via een android tool en dan heb je weer een veilige telefoon.

Dat ligt er zeer aan, dit is bijvoorbeeld een methode om te rooten voor telefoons waarbij de garantie bijvoorbeeld vervalt of waarbij de fabrikant sowieso geen methode heeft om de bootloader te laten unlocken. Neem mijn eigen Xperia Z3 Compact. Daarvoor moet je bijvoorbeeld een unlockcode aanvragen. In het proces van de bootloader te unlocken worden de DRM keys ook weggegooid, dus dingen als fotografie in laag licht zullen slechter werken. Een jaar terug op Android 4.4 was er een exploit gevonden en daar is dus Giefroot uit gekomen. Nooit problematisch geweest

Verder bestaat er nog Kingroot dat ook werkte op 5.1.1 - deze maakte gebruik van een andere exploit, maar dit is nooit openbaar geworden hoe en wat, alleen dat t werkte.

Voor de masterrace Nexus, inderdaad.

Mede daardoor is er ook ''Systemless Root'' ontwikkeld, zoek maar eens op die term op XDA.
Root toegang zonder de systeempartitie daadwerkelijk te wijzigen, het kan.

Even een vraag dat systemless root moet je dan wel of niet de bootloader unlocked? Heb nexus 5x en vind die melding zo vervelend als je bootloader is unlocked

Zover ik weet wel, want je moet bestanden flashen en daar heb je dan weer een aangepaste recovery voor nodig.

Ah oke bedankt voor de info kon het niet zo snel vinden op fora

Systemless root en systemless Xposed patchen de ramdisk dus unlocked bootloader is nodig.

Nee hoor, root met SuperSU is nog steeds altijd mogelijk geweest voor Android 7. Ook met de update van september, want type dit nu rooted.

Hoe worden telefoons van gebruikers voorzien van deze patches?

Via de security updates die Google uitrolt (voor Nexus smartphones) en voor andere merken zijn ze aangewezen op de fabrikanten .

En als je een custom rom hebt dan hopen dat bij de update van je rom(via ota of recovery) dit wordt ingebakken door de rombakker?

CyanogenMod, zo ongeveer de grootste en meest bekende custom ROM, kan in een nieuwe build/patch de security updates integreren.
Dus dan zou dat inderdaad door middel van een update moeten gaan.
Bij een custom ROM als CM kan het dus vrij snel omdat updates verspreiden een makkelijk proces is, bij bijvoorbeeld een Samsung met originele firmware heb je sneller een probleem.

Bij Custom roms worden de laatste patches meestal wel meegenomen. Dat is in verhouding maar een klein beetje werk.

en die kans is redelijk klein tenzij je één van de bekendste telefoons bezit (samsung s6 s7, htc m10, en dergelijke.

Waar haal je dat nou vandaan? Developers van custom roms voegen dit meestal vrij snel toe (week?).

Klopt, toen dit bekend werd kreeg ik binnen een week al de eerste update van Resurrection Remix. Inmiddels zijn 3 Vd 4 exploits verholpen en ik verwacht deze week dus weer een update

wileyfox / cynogenos vind ik echt ideaal; best of both worlds on a budget

mwah, ik heb op mijn S4, Android 6.0.1 van Cyanogen, die is al een paar weken quadrooter vrij

Ik dacht dat (belangrijke) security patches juist door Google Play services werd uitgerold?

Het zou dan meer om het blokkeren van een aanval gaan omdat dit wordt herkend, niet het dichten van een lek. Daarvoor is echt een update vereist omdat het nogal diep in het Android systeem zit.

Inderdaad, Google Play Services heeft niet de machtigingen om zulke dingen in het systeem te veranderen, dat zou grote kwetsbaarheden met zich meebrengen.

Als je Samsung hebt, ben je waarschijnlijk de pineut. Die updaten nooit iets.

Taak van de fabrikanten, dus voor Samsung telefoons wordt het lang wachten. DIt is één van de nadelen van Android. Bij Apple leeft dit probleem niet, maar heb je weer andere problemen

Sinds de maand mei 2016, doet samsung elke maand patch updates, ik krijg elke maand een update waarin staat welke android security fixes toegevoegd zijn.

Afgelopen weekend kreeg ik patch update August binnen, ik denk wel dat dit enkel geld voor toestellen met lollipop of hoger (Kitkat en lager laten dat niet toe in de custom roms)

Die updates zijn ook nooit echt groot, gemiddeld was het tussen de 20 a 50mb groot

[Reactie gewijzigd door sebastienbo op 7 september 2016 11:10]

1 september patch was hier 250 mb maar misschien komt het door samsung cloud?

Bij u was het niet alleen de patch, de 250mb update bevat ook software updates , bij de S7 is eer bijvoorbeeld op 1 september een 250mb update uitgekomen waar ook FM radio geactiveerd werd en HD sound tijdens bellen geactiveerd werd + allemaal performance tweaks and bug fixes

huh fm radio? dat zou wel nice zijn..

heb je een S7 ?

Bij verizon in US weet ik dat ze het vorige week net uitgerold hadden:

http://www.droid-life.com...dates-introduce-fm-radio/

Kan natuurlijk Qualcomm only zijn, waardoor dat hier dus niet opgaat.

Inderdaad watercoolertje, als je je S7 gekocht hebt in USA, ja dan zal je de qualcomm hebben en dus geen FM
Maar in de andere delen van de wereld is het de exynos cpu's

Op mijn s4 heb ik al langer dan een half jaar geen Android Beveiligingsupdate gehad.
Rond 11-2015 de laatste uit mijn hoofd.

Nee dat klopt, daar is ook geen marshmellow of lollipop op dacht ik?

Ook legt Google uit hoe het Stagefright-lek in Nougat wordt tegengegaan.

Geeft dit geen motivatie voor "interested third parties" om dus verder te blijven zoeken naar manieren voor Stagefright?

Die zijn dat sowieso, ongeacht uitleg van Google. En anders kan je nog grasduinen in de git commits.

Jammer dat Samsung geen flauw benul heeft van hoe updates moeten. Op hun laptops gaat het prima, omdat ze daar gewoon van Microsoft komen, maar als Samsung het zelf moet regelen, gaat het hopeloos de mist in.

"Your device has been modified in an unauthorized way"

Dat komt natuurlijk doordat ze het ding zo krampachtig op slot proberen te zetten en zich niet realiseren dat het nog steeds MIJN device is. En als je je device dan gewoon eigen maakt, dan worden updates, en daarmee security patches, botweg geweigerd. Godgeklaagd.

"moet je maar niet rooten"

Dat is niet aan de orde. Op een Windows pc heb je ook administrator-rechten en kun je kloten wat je wil. Zelfde geldt voor Linux en OSX. Updates op die systemen werken prima.

"Samsung mag doen wat ze willen"

Ook niet. Ze stellen mij willen en weten bloot aan gevaren, en weigeren daar iets aan te doen. Door hun grote userbase hebben ze een verantwoordelijkheid, en die kun je niet ontlopen als iemand de rechten op z'n device heeft die hij op alle andere devices ook probleemloos heeft.

Ze stellen mij willen en weten bloot aan gevaren, en weigeren daar iets aan te doen. Door hun grote userbase hebben ze een verantwoordelijkheid, en die kun je niet ontlopen als iemand de rechten op z'n device heeft die hij op alle andere devices ook probleemloos heeft.

Omgekeerde wereld, jij stelt jezelf willens en wetens bloot aan gevaren. Je verkiest blijkbaar root boven security updates. Als je de security updates wel zou ontvangen en ze vervolgens je geroote device zouden bricken dan zou je hier ook klagen.

Als fabrikanten eens wat consequenter zouden zijn met het uitbrengen van updates en niet zoveel onnodige bloatware als systeemapp zouden installeren was het rooten van je toestel ook een heel stuk minder dringend.

Zo dringend is dat niet, lijkt me zeer onwaarschijnlijk dat meer dan de helft van de mensen met een Samsung zijn telefoon heeft geroot

Dat rooten is zijn eigen keuze en de gevolgen zijn dan ook zijn eigen schuld, of het hem nou zint of niet...

Met root ben je juist veiliger af. Je gebruikt een exploit die anders sowieso in je systeem zit; maar met een root-app zoals SuperSU dicht je dat lek af, zodat een app toestemming moet krijgen voordat hij root krijgt.

Verder kun je met root andere rechten van apps beperken, zoals het draaien van libraries en het gebruik van ipc_router, zaken die b.v. Stagefright mogelijk maken. Met b.v. Xprivacy (root vereist) kun je die tegenhouden en ben je dus veiliger tegen allerlei potentiële aanvallen.

Het aan apps kunnen geven van root permission is NIET een gevaar, als je nadenkt over waar je mee bezig bent. Dat is op een PC (met ieder willekeurig OS) geen haar anders.

Je koopt een product van Samsung, als Samsung in de voorwaarden zet dat het rooten van je telefoon verboden is en jij doet dat toch en loopt daarmee updates mis, dan is het toch niet de schuld van Samsung?

Of die restrictie op rooten gegrond is, is een andere discussie, maar als jij de voorwaarden schendt dan is het toch logisch dat je daarvan de eventuele gevolgen ondervindt?

Het moedwillig weigeren van het installeren van een update vind ik ongehoord, met of zonder rooten. Mijn PC is ook "geroot" en alle updates sinds het begin installeren, en werken uitstekend. Waarom is dat op een telefoon anders?

Omdat ze het moedwillig belemmeren voor rooters. Dat is de enige reden. En waarom ze dat doen, dat is dus de vraag.

Het is niet mijn schuld. Ik geef mezelf gewoon toegang tot MIJN device. Dat moet ik zelf weten.

Je vergelijking met PC is appels en peren.

Nogmaals, je mag gerust je toestel rooten, maar als Samsung zegt dat daarmee je updates vervallen dan moet je mijn inziens ook niet gaan klagen dat je geen updates meer ontvangt, dat is gewoon letterlijk wat ze zeggen.

Waarom ze het doen durf ik je niet met zekerheid te zeggen. Ik vermoed eerlijk gezegd juist vanwege de extra security risks die een toestel dat geroot is met zich mee (kan) brengen.

Waarom is een PC anders dan een telefoon? Het is een computer met een OS, en beide zijn mijn eigendom.

Is dit niet een van de redenen dat Android 7 op de achtergrond updates kan draaien? Zodat Google dingen zelf kan updaten en je dus minder afhankdelijk bent van de fabrikant?

Android 7 doet helaas weinig om het bekende updateprobleem op te lossen. Updates moeten nog steeds via fabrikanten en providers.

Wat logisch is. Daarom nexus pixel

Waarom is dat logisch? Dat is bij Linux distro's ook niet: updates voor Mint komen van Ubuntu. DAT is logisch. Wat ze bij Mint hebben aangepast, moet door Mint worden geupdate.

Waarom werkt het bij Android dan zo kut? Waarom kan Google niet het OS updaten, en de fabrikanten los daarvan hun eigen rotzooi updaten??

Omdat de fabrikanten dat tegenhouden niet Google. Updates van een samsung telefoon komt dan ook van Samsung omdat ze hun Samsung crap erop willen staan hebben.

Klopt, maar waarom kan Google niet het OS updaten, en de fabrikant hun eigen rommel?

Zo werkt het op alle desktops immers ook, en dat werkt uitstekend.

Dan kan je nog kiezen voor te rooten en is het ook opgelost.

Een desktop HOEF JE NIET TE ROOTEN, dat is het hele punt. Je hebt op een desktop gewoon root/admin toegang. Altijd. Iedereen. Als je het password maar weet, wat je doorgaans zelf bedacht hebt.

En toch werken updates perfect. Hoe kan het dat dat op een PC geen enkel probleem is, maar op een telefoon is het ineens moord en brand?

Das waar. Klopt gelijk een bus.
Zullen we nooit begrijpen :-)

In eerste instantie werd vermeld dat drie van de vier Quadrooter-kwetsbaarheden al waren gedicht, maar van twee lekken was nog niet bekend wanneer er een patch zou komen.

Dat zijn dan 5 kwetsbaarheden.

Je leest het verkeerd (denk ik). Ze hadden 3 bugs/exploits opgelost waarvan er van 2 niet bekend was wanneer die daadwerkelijk in een patch zouden komen (wss ivm uitgebreid testen).

[Reactie gewijzigd door watercoolertje op 7 september 2016 13:38]

Die quadroot fixes komen dus via de security updates. Maar de stagefright fix komt alleen naar Nougat?

Kan iemand zeggen of stagefright dan voor oudere android versies (Nexus 5) wel een gevaar blijft?

In de oude versies is het gepatched, in de nieuwe versie is de hele mediaserver opnieuw geschreven Stagefright is dan ook al maanden (bijna ene jaar nu oid?) gepatched!

[Reactie gewijzigd door watercoolertje op 7 september 2016 14:29]

Dankje, dan heeft het Google het dus goed gefixed. Er waren zoveel artikelen over stagefright en dit artikel was niet duidelijk dus wilde ik het even zeker weten.

Was al bang dat ze een security update zouden doorschuiven naar een nieuwe OS versie wat tegenstrijdig zou zijn met hun updatebeleid m.b.t. maandelijkse security updates.

Je kan als je twijfelt over je eigen toestel altijd deze app gebruiken om het te checken:
https://play.google.com/s...stagefrightdetector&hl=nl

Het zit wel in de security fixes van Google maar de fabrikant moet die natuurlijk wel doorzetten naar de klant met een update! Weet dat het bij de duurdere toestellen prima gaat, maar bij hele oude of goedkopere modellen weet je maar nooit

[Reactie gewijzigd door watercoolertje op 7 september 2016 14:41]