Google fixt twee actief misbruikte kwetsbaarheden in Pixel-smartphones

Google heeft twee zerodaykwetsbaarheden in Pixel-smartphones opgelost die door enkele forensische bedrijven actief zouden worden misbruikt. Een kwetsbaarheid bevond zich in de Pixel-fastbootfirmware, terwijl de andere kwetsbaarheid zich in de bootloader bevond.

Google vermeldt de kwetsbaarheden in zijn Pixel Update Bulletin van april 2024 waarin het ook naar beveiligingsupdate 2024-04-05 verwijst. Het bedrijf vermeldt dat er indicaties zijn dat twee kwetsbaarheden, CVE-2024-29745 en CVE-2024-29748, beperkt en gericht worden misbruikt. De ontwikkelaars van GrapheneOS, een privacyvriendelijke fork van Android, schrijven op X dat deze kwetsbaarheden actief misbruikt worden door forensische bedrijven. Welke bedrijven dat zijn, is niet bekend.

Kwetsbaarheid CVE-2024-29745 bevindt zich volgens de ontwikkelaars in de fastboot firmware van Pixel-apparaten, dat mee instaat voor het probleemloos vergrendelen en ontgrendelen van de toestellen. Kwetsbaarheid CVE-2024-29748 verwijst dan weer naar een kwetsbaarheid die ontstaat als een device admin-app een fabrieksreset wil uitvoeren.

April release of the Pixel boot chain firmware includes fixes for 2 vulnerabilities reported by GrapheneOS which are being actively exploited in the wild by forensic companies:https://t.co/W9OjQcfZ30https://t.co/UWAaA9er57

These are assigned CVE-2024-29745 and CVE-2024-29748.

— GrapheneOS (@GrapheneOS) April 2, 2024

Reacties (22)

[litebyte]

Hoe zijn de ervaringen hier met Graphene OS op Google Pixel (7) telefoons?

[Teun!]

Ik ben zeer tevreden, maar ik heb hem ook maar een uurtje stock gebruikt (Pixel 8 Pro) en specifiek hierom gekocht. Alles wat ik gebruik werkt (Face unlock niet trouwens) maar ik gebruik bijvoorbeeld geen NFC en mijn auto heeft geen Android auto dus dat heb ik ook niet geprobeerd, maar dit is een recent toegevoegde feature (een custom implementation voor zover ik dat weet) dus zou moeten werken. Ik ben zeer impressed met GrapheneOS het is echt een stuk beter dan (vaak slecht onderhouden) custom ROMs die ik hiervoor altijd gebruikte.

[M!chiel]

Ik kan bevestigen dat Android Auto nu ook probleemloos werkt op GrapheneOS.

[XoReP]

Prima eigenlijk. Vrijwel alles is ook aan de praat te krijgen behalve Google Pay, maarja dat is ook niet echt voor de doel groep. Heb wel het idee dat ik ietsje sneller door mijn accu heenging dan stock.

[Teun!]

Ben ik benieuwd, gebruik je multi profile? Kan me voorstellen dat dit misschien verschil maakt?

[XoReP]

Een keer kort getest maar vond het net te onhandig om te switchen dus helaas geen echte praktijk ervaring.

[MtlSnk]

GrapheneOS gebruik ik dagelijks, inmiddels grofweg 2 jaar, en vind het erg prettig op mijn Pixel 7 Pro. Mijn omgeving zou er niet mee overweg kunnen, maar dat kan ook te maken hebben met hoe ik het verder heb ingesteld.

Hoe profielen zijn geïmplementeerd vind ik op zich fijn, maar naar mijn idee ontbreekt er een kloon-functie om gemakkelijker meerdere profielen met dezelfde instellingen aan te maken. Als je b.v. een andere launcher gebruikt met specifieke instellingen, zul je die in een ander profiel weer moeten instellen.

[Sando]

Hoe zijn de ervaringen hier met GrapheneOS op Google Pixel telefoons?

Ik ben positief verrast. Had de Pixel 8 specifiek hierom gekocht, omdat mijn telefoon stuk ging, en de Fairphone 5 nog net niet uit was. Anders had ik /e/OS geïnstalleerd. Met tegenzin de Pixel 8 gekocht, maar toch positief verrast.

Omdat het zo makkelijk is. met WebUSB gaat de website gewoon je telefoon voor je unlocken en GrapheneOS flashen. En vervolgens kan je een sandbox installeren waarin je gewoon Google Play zet, zodat je niet hoeft te klooien met MicroG om apps te installeren.

Wel even wennen als je /e/OS gewend bent, maar met een aantal extra apps (Nextcloud, DAVx5, ICSx5, Nextcloud Notes (Niedermann), Tasks.org en Simple Calendar) heb je je contacten en integratie met Nextcloud weer terug.

[Reactie gewijzigd door Sando op 22 juli 2024 23:27]

[Sp3ci3s8472]

Het werkt hier prima, tot nu toe ook geen apps tegengekomen die problemen geven (inclusief een 4-tal bank apps). Kan het alleen maar aanraden als je toch iets meer om privacy geeft.

Ik draai het op een Pixel 7a; en hiervoor had ik een OnePlus Nord en de enige handige feature die ik miste was een makkelijke profile switcher. Misschien moet ik hier nog eens naar kijken.
Ik heb namelijk een sim voor werk en een e-sim voor persoonlijk gebruik; e-sims werken dus ook prima.

[Reactie gewijzigd door Sp3ci3s8472 op 22 juli 2024 23:27]

[Pat-Juh]

Perfect. Android Auto werkt sinds een tijdje ook perfect. Enkel de integratie met de Graphene eigen telefoon en contacten app is wisselvallig. Ik gebruik daarom wel de Google variant, enkel met geblokte netwerk verbinding. Zo kan ik vanaf het radio scherm wel direct een contact kiezen.

[closefuture]

Dergelijke updates installeren op een Pixel duren wel absurd lang. Die van mij was ongeveer 40 minuten bezig om een update van 29MB te installeren.

[p1lot]

Die ervaring heb ik op mijn Pixel 6 niet, was op minder dan 2minuten klaar.

[Ortep]

Dat is totaal onbelangrijk. Het duurt juist zo lang omdat het geen enkele prioriteit heeft. Je kan je toestel gewoon blijven gebruiken. Al zou het 3 dagen duren.

Je gaat toch zeker niet naar het update scherm zitten staren al die tijd?

[closefuture]

Het duurt juist zo lang omdat het geen enkele prioriteit heeft.

Aangezien het toestel niks anders aan het doen was, was er geen contentie tussen processen. Dus het update proces kon gewoon de resources gebruiken die er waren en hoefde derhalve ook geen "prioriteit" te hebben boven andere processen.

Al zou het 3 dagen duren.

Beetje raar om te zeggen dat het 3 dagen zou mogen duren aangezien het hier gaat om een kwetsbaarheid die actief uitgebuit word.

Je gaat toch zeker niet naar het update scherm zitten staren al die tijd?

Als je ziet dat er een kwetsbaarheid is die actief uitegebuit word en je wilt de update uitvoeren dan moet de telefoon herstart worden. Na herstart moet je je PIN / Wachtwoord invoeren anders ben je offline. Dus ja, bij zo'n update wacht ik totdat ik hem kan rebooten.

[micheldenhaag]

Dat komt door seamless updates:
Google downloads in the background. It also optimizes apps in the background while also giving you complete usage of your phone. Texts, calls, apps, whatever you need. Takes an hour, maybe more depending on the update. Hit restart, 45 seconds later you're staring at your home screen with minimal downtime of your device.

Bij andere merken kun je je telefoon tijdens het updaten niet gebruiken en ben je zomaar 15 minuten offline. Als je bij een Pixel niet handmatig een update schopje geeft, gaat dit automatisch in de nachtelijke uren en merk je er sws niets van.

[Martijn___]

Net geupdate.
ge-update op 5 april staat er.
Geïnstalleerde beveiligings update: 5 april
Het is pas 3 april

[commentator]

dat is altijd met die datum

[ReTechNL]

Ik had precies de zelfde gedachte

[Mas-ih]

Om welke modellen gaat het om kan dat nergens vinden. En krijgt mijn pixel 3a ook deze fix?

Staat in de security bulletin..Nee dus

[Reactie gewijzigd door Mas-ih op 22 juli 2024 23:27]

[correcto]

Ben bang dat de Pixel 3 geen updates meer krijgt. Mijn Pixel 4a misschien nog wel (staat niet hard op eol i.i.g.).

Voor de volledige lijst van Pixels en wanneer deze nog updates krijgen zie: https://support.google.co...d=11974253562921633938-EU

[iDennis95]

Beiden worden nog door LineageOs ondersteund. Misschien is het interessant om even te kijken

[correcto]

Zit zelf te denken aan /e/os, maar heb me nog niet verdiept in hun security update beleid.