Google dicht twee actief misbruikte zerodays in Android

Google heeft met de beveiligingsupdate van maart 43 kwetsbaarheden in Android gedicht, waaronder twee zerodays die al misbruikt worden bij gerichte aanvallen. Een van de zerodays wordt gebruikt door Servische autoriteiten.

Servische autoriteiten misbruiken CVE-2024-50302 om in beslag genomen apparaten te ontgrendelen, schrijft Bleeping Computer. Dit is een kwetsbaarheid in de driver voor Human Interface Devices in de Linux-kernel, waarmee dat mogelijk wordt. Eerder meldde Amnesty al dat een Servische inlichtingendienst een tool van het Israëlische Cellebrite gebruikt om de vergrendeling van telefoons van activisten te kraken als die in beslag zijn genomen. CVE-2024-50302 zou onderdeel zijn van de exploitketen die daarvoor gebruikt wordt.

De tweede gedichte zeroday is CVE-2024-43093, een privilege-escalationkwetsbaarheid waarmee lokale aanvallers toegang kunnen krijgen tot gevoelige mappen. Ook zijn er elf kwetsbaarheden gedicht waarmee aanvallers op afstand eigen code kunnen uitvoeren op apparaten. De volledige lijst met gedichte kwetsbaarheden is te vinden op de website van Android.

Reacties (17)

[DDX]

En voor deze kwestbaarheden moet je wachten/hopen tot de fabrikant van je telefoon een update uitrolt of komen deze fixes via de updates van de play store ?

[Matthijs8]

De volledige lijst met kwetsbaarheden staat gelinkt aan het einde van het artikel. Daar kun je zien dat alleen CVE-2024-43093 via Google Play binnenkomt, toevallig wel 1 van de 2 genoemde kwetsbaarheden. Voor de andere genoemde en alle andere kwetsbaarheden moet je wel hopen/wachten op een update van de fabrikant. De andere genoemde ontvang je dan ook nog alleen eens bij het 2025-03-05 patch level. Veel telefoons die uberhaupt de March update ontvangen zullen alleen het 2025-03-01 patch level krijgen en hebben dus plat gezegd dikke pech.

[dehardstyler]

Kan iemand mij uitleggen waarom hier zo ingezoomt wordt op de Servische autoriteiten, terwijl een Cellebrite gebruikt wordt?

Als een Cellebrite dit kan, dan wordt deze CVE toch nu overal wereldwijd gebruikt om telefoons open te maken? Ik snap dus het inzoomen op de Servische autoriteiten niet?

[Gijsbertjan]

Goede vraag! Waarom inzoomen op Servië voor het gebruik, in plaats van op Israël voor het verstrekken van deze tools? Servië zou hier nooit toegang tot kunnen hebben gehad zonder hun hulp.

Hoe kan het ethisch verantwoord zijn dat Israëlische bedrijven surveillancetools ontwikkelen en leveren aan autoritaire regimes?
Deze tools, zoals Cellebrite’s UFED of NSO’s Pegasus, worden ingezet om activisten, journalisten en dissidenten te onderdrukken. Het feit dat deze bedrijven restricties omzeilen via tussenpersonen, toont aan dat de huidige Israëlische exportcontrole faalt.

De Israëlische overheid promoot deze sector actief als nationaal exportproduct, maar stelt economische belangen boven mensenrechten – een vorm van digitale wapenhandel. Hoewel Israël sinds 2022 strengere exportregels heeft, ontbreekt transparantie over wie deze tools koopt en waarvoor.

Het ontbreken van internationale verantwoording verergert het probleem: Israël is geen ondertekenaar van het Wassenaar Arrangement, een internationaal kader om dual-use technologie te reguleren. Hierdoor ontstaat een wettelijk vacuüm, waardoor autoritaire regimes ongehinderd toegang houden tot geavanceerde onderdrukkingsmiddelen.

Is het tijd voor bindende verdragen om deze ‘surveillance-export’ aan banden te leggen, of accepteren we stilzwijgend dat mensenrechten ondergeschikt zijn aan geopolitiek en winst?

[Kcirtap]

Mooi toch. Staten die aankloppen voor dit soort software verraden zich nu.

[Gijsbertjan]

Zeggen "mooi toch, ze verraden zich" is als juichen omdat een inbreker zijn voetafdruk achterlaat – terwijl de fabrikant van de breekijzers rustig doorverkoopt aan de volgende crimineel. Blootstelling is pas zinvol als het leidt tot actie, niet tot cynisch schouderophalen.

[Aldy]

Natuurlijk heb je gelijk, maar verder dan cynisch schouder ophalen zal het niet komen. Om op je eerdere vraag terug te komen:

Is het tijd voor bindende verdragen om deze ‘surveillance-export’ aan banden te leggen, of accepteren we stilzwijgend dat mensenrechten ondergeschikt zijn aan geopolitiek en winst?

We weten beiden het antwoord, want geld stinkt niet. En het zal mij zelfs niets verbazen als deze software verkocht wordt aan regimes waarmee Israël overhoop ligt.
Cynisme? Ja. Ik kan er niets aan doen dat ook ik mijn schouders ophaal.

[telenut]

tja, verander activisten door pedofielen en terroristen, en dan mag het plots wel...

[Aeternum]

- hmm edit beter lezen - Ik persoonlijk vind het geen inzoomen, het artikel stelt alleen wie het gebruikte en waar het vandaan kwam.

[SunnieNL]

Earlier this week, Cellebrite said its tools are not designed to facilitate any type of offensive cyber activity and that it works actively to curtail the misuse of its technology.

The Israeli company also said it will no longer allow Serbia to use its software, stating "we found it appropriate to stop the use of our products by the relevant customers at this time."

bron: https://thehackernews.com...cellebrites-zero-day.html

Dus ja, Cellebrite kan hiermee telefoons openen, maar het is niet bedoelt voor inlichtingdiensten die het misbruiken . Daarnaast zijn de servische autoriteiten bekend dat ze het misbruikt hebben, van anderen is dat niet het geval. Vandaar dat daar wat meer de aandacht naar toe gaat.

[eazyq]

Gelukkig meld jij het nu maar dat had ook direct in het artikel mogen staan.

[Edgarz]

Voor wie dan wél?

[YGDRASSIL]

Het is alleen bedoeld voor mensen die hun password vergeten zijn zeker.

[DrPoncho]

Aldus de Servische autoriteiten.

[Matthijs8]

Voor CVE-2024-50302 heb je wel de 2025-03-05 security patch level nodig. Veel telefoons ontvangen alleen de xxxx-xx-01 patch levels en lopen daarmee deze fix en andere kernel/firmware fixes altijd mis.
Ik heb een familielid met een Galaxy A-xx model vanuit werk, en dat is ook de business versie met met extra lange update support. Maar die krijgt ook altijd alleen maar de xxxx-xx-01 patch levels.

[Aeternum]

Komen die dan niet automatisch een maand later mee? Ik zou verwachten dat het dan een maand later alsnog in de update zit. (want hoe werken die patch levels dan eigenlijk?)

[Matthijs8]

Bij het 01 patch level krijg je alleen de basis patches voor Android. Als de telefoon nu 2025-03-01 als patch level aangeeft, dan zou je dus alle patches van dat level moeten hebben, plus ook alle voorgaande patches van eerdere 01 levels.
Bij het 05 patch level krijg je daarnaast ook nog patches voor de Linux kernel en firmware van Qualcomm, Mediatek e.d. (afhankelijk van wat er precies in je telefoon zit). Bij een bepaald 05 patch level zou je dan dus ook alle patches van de voorgaande 01 en 05 levels moeten hebben.