'Kernelbug Android maakt verkrijgen roottoegang gemakkelijk'

Een beveiligingsonderzoeker heeft een bug in de Android-kernel gevonden. Deze maakt het naar verluidt mogelijk om op simpele wijze roottoegang te verkrijgen op Android-apparaten. De bug zou door malware misbruikt kunnen worden.

Dat publiceerde beveiligingsonderzoeker Jon Oberheide op Twitter. Om van de kernelbug gebruik te maken moet een gebruiker toegang hebben tot /dev/pvrsrvkm, waarvoor geen aparte permissies nodig zouden zijn. Op zijn website laat Oberheide zien op welke wijze gebruik kan worden gemaakt van de bug om roottoegang op een Android-apparaat te verkrijgen. De bug heeft betrekking op het kernelgeheugen in Googles mobiele besturingssysteem, dat is voorzien van een Linux-kernel.

De bug werd door Google gerepareerd in versie 2.3.6 van het Android-OS. Vele Android-apparaten draaien echter nog op een oudere versie, waardoor zij vatbaar zijn voor de exploit. Bij de publicatie werd een verwijzing gemaakt naar de PowerVR SGX-chips, die in vele Android-apparaten dienstdoen als gpu. Of de exploit ook gebruikt kan worden op toestellen met andere grafische chip is onbekend. Onder andere de Google Nexus S en Samsung Galaxy S-serie zouden vatbaar zijn.

Er zijn momenteel nog geen tools uitgebracht om roottoegang te verkrijgen op Android-apparaten die gebruikmaken van de kernelbug. Het is echter aannemelijk dat ontwikkelaars hiervoor software gaan schrijven, als de door Oberheide gepubliceerde methode bruikbaar blijkt. Er lijkt namelijk alleen conventionele gebruikerstoegang noodzakelijk te zijn om roottoegang te verkrijgen, waardoor hackers weinig moeite hoeven doen om de beveiliging te omzeilen. Mogelijk kunnen geïnstalleerde applicaties daardoor eveneens van deze bug gebruikmaken, wat misbruik door Android-malware gemakkelijker kan maken.

Reacties (98)

[Verwijderd]

Ik heb het nagekeken op mijn HTC Desire. Daar bestaat /dev/pvrsrvkm niet. Ik vermoed daarom dat dit alleen speelt voor apparaten met de bijbehorende chip.

Ja, het is een lek. Maar verder heb ik het gevoel dat het belang van deze vondst een klein beetje overdreven wordt.

Verder ben ik het met een paar posters hierboven eens, dat het erg vervelend is dat de fabrikanten geen updates uitbrengen voor hun telefoons. Dat is een nadeel van het gekozen model van de Handset Alliance. Elke fabrikant heeft zijn eigen distro, dus je zal helaas ook daar moeten aankloppen voor oplossingen.

Edit: Lijstje van Mei 2011 met apparaten waar de chip in zit.
http://www.altsoftware.co...let_may2011_websmall2.pdf
Voor de geïnteresseerde. Dat zijn er nog wel een paar. Ik weet dan helaas weer niet hoeveel daarvan draaien met een recente, niet kwetsbare, versie van de kernel.

[Reactie gewijzigd door Verwijderd op 1 augustus 2024 23:05]

[Hadespuiter]

Onlangs maakte Mcafee al bekend dat alle bekende malware op Android toegespitst is. IOS maar ook WP7 kent het fenomeen niet.

Fijn joh, open source (=open huis) op je telefoon waar je ook wel eens wat bankzaken e.d. op wilt doen. Ik tenminste wel. Ik had echt interesse in de Galaxy Nexus (vanwege het 720p scherm) maar ik geloof dat ik maar bij iOS blijf.

[Verwijderd]

Lol zelfs met root toegang kunnen ze niks met je bankzaken doen hoor. Leg mij dan eens uit hoe en ik weerleg het zo.

En terzijde.. de galaxy nexus is een google telefoon. Krijgt sneller updates dan iPhones!!! En zulke bugs en exploits kunnen zich ook bevinden in iOS.

Dus je argument gaat niet echt op..

[Reactie gewijzigd door Verwijderd op 1 augustus 2024 23:05]

[watercoolertje]

Ah dus jij denkt dat iOS zo veilig is, waarom heb ik Android nog nooit uit de browser kunnen rooten/jailbraiken en iOS wel? Van dat lek bij iOS had ook net zo goed misbruik gemaakt kunnen worden uiteraard...

Ow en elke manier van rooten/jailbraiken waar alles in het OS zelf gebeurd (dus niet buiten het OS om) is dus te misbruiken door kwaadwillende... Daar is iOS geen uitzondering op hoor.

En als laatste, je laat mij niet geloven dat je interesse had in de Galaxy Note hoor Dat zou hetzelfde zijn als ik nu roep dat ik interesse heb in een iPhone, oftewel klinklare onzin...

En als allerlaatste de Galaxy Nexus heeft een veel te nieuwe kernel voor dit truucje

[Reactie gewijzigd door watercoolertje op 1 augustus 2024 23:05]

[Verwijderd]

Het is ook wel heel erg raar dat de malware makers zich richten op het meest gebruikte mobiele besturingssysteem. Echt heel erg raar

[Hadespuiter]

Alsof iOS een weinig gebruikt systeem is? De cijfers die Mcafee presenteerde zijn gewoon zo klaar als een klontje: bijna 100% van de bekende malware is Android. iOS = 0,00%

Malware is gewoon een groot probleem aan het worden op Android. Op iOS is het een non-issue.

[ioor]

dat zou aleen een non-issue zijn als niemand zijn i-dingetje zou jailbreaken...dus jouw opmerking is een non-issue....

[Hadespuiter]

De meeste malware slachtoffers vallen onder het "gewone" volk, de niet-technerds zeg maar. Dat gewone volk jailbreaked niet.

Voor de doorsnee iOS gebruiker is malware gewoon een non-issue, zal er hoogstwaarschijnlijk nooit mee te maken krijgen. In tegenstelling tot de Android gebruiker.

[Verwijderd]

Er was toch laatst weer een developer die via een exploit in een app gewoon overal in je telefoon kon komen. De app was ook nog eens perfect goedgekeurd in de app store!!!

Verklaar dat eens? Lees jij geen tech nieuws ofzo...

Zeg dan NIET dat iOS dat ook niet heeft. Want dat is dus wel zo... het kan wel.

[Reactie gewijzigd door Verwijderd op 1 augustus 2024 23:05]

[Hadespuiter]

Die app heeft er zegge en schrijve een uur ingestaan, en binnen no-time heeft Apple dat lek gedicht (iOS 5.0.1).

[Verwijderd]

Alleen omdat hij het aangaf jah.. je hebt weer geen argument. Als hij kwaad wou had hij het namelijk niet verteld aan Apple.

[Verwijderd]

iOS wordt zeker veel gebruikt maar is inmiddels kleiner dan android en gezien de groei van het systeem zie ik dit nog niet zo heel snel veranderen.

non-issue? http://lmgtfy.com/?q=ios+malware

Gezien de geslotenheid van Apple / iOS zal het ongetwijfeld veiliger zijn maar een non-issue?? Dream on

[rinusnl]

Oei kwalijke zaak dit! vooral het stukje van:
"De bug zou door malware misbruikt kunnen worden."

ik wil niet weten wat er gebeurd als dit wordt toegepast. vooral met de dingen zoals internetbankieren app's etc. dan zal er echter wel schade gericht worden aan het mooie besturingssysteem! wie wilt er namelijk een risico lopen? volgens mij niemand
ben benieuwd of dit nou ook bij de nieuwe 4.0 ook is. ook ben ik benieuwd hoelang het gaat kosten om hier iets op te verzinnen!

[Verwijderd]

Nou ook al zou jij toegang krijgen tot mijn internet bankieren app. Wat wil je dan doen? Geld overmaken naar mijn bekenden??

Hallo er is heus wel nagedacht over die app hoor..
Iemanf anders kan niks met toegang tot mijn rekening via een app.

[Grrrrrene]

Puur om te jennen zou dat natuurlijk al k*t genoeg zijn. Bijvoorbeeld als er geld overgemaakt wordt naar een grote instantie als jouw verzekeraar of de belastingdienst. Probeer dat maar 's een beetje vlotjes terug te krijgen

Maar de kans is idd klein dat dat de insteek van een mobiel bankieren app-hack zal zijn. Daar heeft de hacker weinig aan, of het moet een idealist zijn die de wereld wil wijzen op een veiligheidslek ofzo.

[thegve]

De meeste root-technieken (om root toegang op je android / iOS / andere smartphone) te krijgen zijn voor zover ik weet gebaseerd op dit soort exploits. Zo heel erg uniek is het dus niet denk ik.

[DeTeraarist]

Hopelijk zien ze bij Google nu ook dat hun huidige updatemechanisme uiterst slecht doordacht is. De gebruikers van je OS afhankelijk laten zijn van een fabrikant? Er is een reden dat andere OS ontwikkelaars een eigen oplossing hebben en mensen niet doorverwijzen naar MyCom.nl.

[Erwin1967]

Google moet veel strengere eisen gaan stellen aan de fabrikanten want anders gaat Android gewoon ten onder. Microsoft en Apple hebben hun update mechanismen wel op orde zoals je van een professioneel bedrijf mag verwachten. Google moet veel meer een visie hebben hoe om te gaan met de verschillende versies en hoe de ondersteuning geregeld moet worden. Nu wordt een versie over de muur geflikkerd en mag de klant het maar verder uitzoeken.

[Grrrrrene]

Ik zou ook niet weten wat erop tegen is? Laat de fabrikanten dan maar voor driversupport zorgen als ze afwijken van de door Google voorgeschreven hardware. En laat die support dan minstens 2 jaar doorlopen na hun laatst verkochte exemplaar.

Ik heb zelf een Motorola Milestone die echt überslecht onderhouden werd door de fabrikant. Ik heb hem 1,5 jaar geleden gekocht en binnen 10 maanden hield de support op. Ik heb 1x een update gehad naar Android 2.2 (Froyo) die opzich al gedurende een halfjaar steeds werd uitgesteld. Uiteindelijk was hij klaar toen de andere fabrikanten (Samsung / HTC) al naar 2.3 gingen Overigens zit de bewuste PowerVR-GPU ook in mijn Milestone

Dat wil ik dus niet meer, dus ik denk dat mijn volgende telefoon een Galaxy Nexus wordt. Ik mag toch hopen dat die beter van updates wordt voorzien, gezien de developer-telefoon status

[Reactie gewijzigd door Grrrrrene op 1 augustus 2024 23:05]

[ioor]

Hopelijk zien ze bij Google nu ook dat hun huidige updatemechanisme uiterst slecht doordacht is. De gebruikers van je OS afhankelijk laten zijn van een fabrikant? Er is een reden dat andere OS ontwikkelaars een eigen oplossing hebben en mensen niet doorverwijzen naar MyCom.nl.

Lulkoek... het update mechanisme van android werkt gewoon goed....dat verschillende TELEFOON makers daar hun eigen ding in willen doen staat los van Google....Android zelf kun je gelukkig buiten de telefoonmaker gewoon updaten...

[Reactie gewijzigd door ioor op 1 augustus 2024 23:05]

[DeTeraarist]

Android Version: 2.3
System Updates: Your system is up to date.
Lulkoek? Was het maar zo.

[ioor]

...en...is dat een update systeem van google, of van je telefoon makertje........lulkoek dus...

[Stevie-P]

Ik ben benieuwd of nu de fabrikanten voor alle telefoons updates gaan verspreiden, gezien door de eigen schillen die ze over Android heen hebben gebouwd (zoals HTC's sense) ze de updates eerst moeten testen en goedkeuren voordat ze doorgevoerd worden. Als ze dat al gaan doen, zal er alsnog wel aanzienlijk wat tijd overheen gaan. Hopen dat er in de tussentijd geen malware van deze bug gebruik gaan maken.
Mijn volgende telefoon wordt er een uit Google's Nexus reeks, met een onaangepaste Android rom en hopelijk snelle updates...

[Verwijderd]

[swel]

Behalve 3.2 dan

..iets met XDA

[35MHz OC]

Als je deze rom bedoeld:
[ROM][Nov 20][v3.2][Desire Z] BeatMod BlissSense Hybrid | Sense 3.5 | 2.3.5 (http://forum.xda-developers.com/showthread.php?t=1250482)

Dan heb je heb je het lek nog steeds. De Android versie staat achter de Sense versie en dat is 2.3.5. Als je niet huiverig bent voor het flashen van een custom ROM en je kan zonder Sense, dan is CM7 misschien iets, zit je direct op Android 2.3.7. (http://download.cyanogenm...type=stable&device=vision)

[Rubu]

Volgens mij heeft Tweakers niet zo goed gelezen, in het document staat duidelijk:

"The vulnerability was patched in the Android 2.3.6 OTA update."

Kortom, hij is al gepatched, dan zal hij waarschijnlijk in 4.0 er ook niet meer inzitten. Feit blijft dat een heel groot deel van de momenteel actieve android toestellen dus wel ge-exploit kunnen worden mbv deze bug.

artikel is inmiddels veranderd

[Reactie gewijzigd door Rubu op 1 augustus 2024 23:05]

[TimeVortex]

Misschien stond het er nog niet in toen jij dit postte, maar in het Tweakers.net-artikel staat dan ook:

De bug werd door Google gerepareerd in versie 2.3.6 van het Android-OS. Vele Android-apparaten draaien echter nog op een oudere versie, waardoor zij vatbaar zijn voor de exploit.

ETA: meh, volgende keer eerst even de pagina reloaden voor ik post -- stok hierboven was me voor.

[Reactie gewijzigd door TimeVortex op 1 augustus 2024 23:05]

[stok]

Volgens mij heb jij het artikel niet zo goed gelezen, daarin staat duidelijk:

"De bug werd door Google gerepareerd in versie 2.3.6 van het Android-OS."

[The Underminer]

Mensen met cyanogenMod zijn al een tijdje veilig, die zitten op 2.3.7 sinds CM 7.1. Zelf ook maar eens flashen..

[Thralas]

Androidversie zegt weinig over de gebruikte kernel.

[ioor]

Klopt helemaal....maar ik snap het verband van jouw opmerking niet....Bij elke Mod (dus geen standaard android) staat namelijk de gebruikte kernel....

[HerrPino]

De manier van updaten lijkt een beetje tegen Android te gaan werken (... en de verscheidenheid aan telefoons) Veel mensen krijgen vaak of niet, of pas na lange tijd een update voor hun toestel. Waarschijnlijk zijn er hele volksstammen die nooit versie 2.3.7 of hoger zullen krijgen.

Gelukkig zal ik daar nooit last van hebben.

[Digistorm]

Het zal er bij dit soort berichten ook niet om gaan dat wij Tweakers een probleem hebben, maar het brengt iets aan het licht dat *mogelijk* voor alle Jan met de Petten met een getroffen telefoon gevolgen heeft. Want wie zijn de veroorzakers van botnetten, en wie zijn het slachtoffer van creditcard fraude? Juist, de mensen die techniek geen zier interesseert. Je wilt gewoon geen tikkende tijdbommen creëren dus is het goed om op z'n minst bewust te worden van lekken, en de industrie zoveel mogelijk te pushen om te voorkomen dat het hele spam en fraude probleem nog groter wordt.

[Moonsurfer_1]

Ik ben enorm voor android, maar ik moet toegeven dat apple het in dit geval beter voor elkaar heeft. Als Apple een exploit heeft kunnen ze redelijk gemakkelijk de update vrijgeven. Bij androidtoestellen hangt het echter van iedere fabrikant af. En deze fabrikanten gaan niet snel updates voor "oudere" modellen (denk aan htc desire 1 van 1,5 jaar geleden) uitbrengen, wat dus een risico vormt voor de gebruiker.

[Sfynx]

Apple hoeft inderdaad alleen maar een update aan iOS 5 te pushen (en eventueel een backport naar iOS 4 als het echt ernstig is, om ook oudere toestellen als de iPhone 3G nog even mee te pikken).

De nadelen van het distributie bij een andere partij leggen wordt met dit incident pijnlijk duidelijk. Sowieso vind ik het belachelijk dat het blijkbaar niet vanzelfsprekend is dat je na 1,5 jaar nog fatsoenlijke updates voor je apparaat krijgt.

[Erwin1967]

Het genoemde lek in Android maakt maar weer eens duidelijk hoe belangrijk support is op een Android telefoon gedurende zijn levensloop van zeg 2 of 3 jaar. Bij de HTC is de support, in iedergeval voor de Desire, gewoon ontzettend slecht. Ik heb nu een apparaat dat 24 uur per dag in contact staat met het internet. Lekker dus als je kwetsbaar bent voor malware. Oplossing voor mij is simpel, nooit meer een HTC of Android voor mij.

[Reactie gewijzigd door Erwin1967 op 1 augustus 2024 23:05]

[FreshMaker]

Ja, bij mij staat 24/24 x 7 netwerkverbindingen open, ja
Wat is je punt ?

[WiebeV]

Of de exploit ook gebruikt kan worden op toestellen met andere grafische chip is onbekend. Onder andere de Google Nexus S en Samsung Galaxy S-serie zouden vatbaar zijn.

De Nexus S heeft een tijd geleden 2.3.6 al gehad