Google fordert Samsung auf, keine Änderungen mehr an Android vorzunehmen

Android
(Bildnachweis: Shutterstock)

Google hat einigen der führenden Hersteller von Mobiltelefonen wegen der Änderung von Linux-Kernel-Codes innerhalb seiner Android-Plattform eine Abreibung verpasst.

Laut dem Google Sicherheitsteam "Project Zero" haben mehrere Telefonhersteller an der Software herumgebastelt, um ihre Geräte sicherer zu machen - dadurch wurden die Smartphones jedoch anfälliger für schwerwiegende Sicherheitsfehler.

Dazu gehört auch Samsung, dessen Basteln am Android-Linux-Kernel dazu geführt hat, dass die Geräte des Unternehmens einer Reihe von Bedrohungen ausgesetzt sind.

Erzeugen von Schwachstellen

Google hat vorgeschlagen, dass die Hersteller die eingebauten Sicherheitsfunktionen von Android verwenden sollten, anstatt unnötige Änderungen am Betriebssystemkern vorzunehmen.

Jann Horn von Google zitierte ein Beispiel von Samsungs Galaxy A50 und zeigte, dass Samsung während der Durchführung dieser Änderungen benutzerdefinierte Treiber hinzufügte und so direkten Zugang zum Kernel schuf. Dies sollte zwar die Sicherheit auf dem Gerät erhöhen, verursachte aber einen Fehler, der den Speicher beschädigte.

Samsung beschrieb den Fehler als ein moderates Problem, das aus "Use-after-free"- und "Double free"-Schwachstellen auf Geräten besteht, auf denen Android 9 Pie und Android 10 laufen und die das Sicherheits-Subsystem PROCA (Process Authenticator) des Unternehmens betreffen. Dieser Fehler wurde mit einem Update im letzten Februar-Update des Unternehmens gepatcht.

Die Beiträge von Horn deuten auch darauf hin, dass gerätespezifische Kernel-Änderungen eine häufige Quelle von Schwachstellen sind und bezeichneten diese als "unnötig", was Googles Arbeit an der Sicherung des Betriebssystems zunichte macht.

Er hob ein weiteres Beispiel von Samsung hervor, das besagt, dass eine der Änderungen an einem Gerät darauf abziele, einen Angreifer einzuschränken, der "willkürliche Kernel-Lese-/Schreibzugriffe" erhalte. Er bezeichnete diese Änderungen als "vergeblich" und erwähnte, dass die technischen Ressourcen besser hätten genutzt werden können, wenn sichergestellt worden wäre, dass ein Hacker nicht einmal diesen Punkt erreicht.

Er schloss mit dem Appell, dass "idealerweise alle Anbieter dazu übergehen sollten, unterstützte Upstream-Kernel zu verwenden und häufig Aktualisierungen von diesen anzuwenden".

Via: Google Project Zero

TOPICS
Franziska Schaub
Chefredakteurin

Hallöchen, ich bin Franzi.

Als Chefredakteurin bei TechRadar Deutschland bin ich unter anderem verantwortlich für die Bereiche Smartphones, Tablets und Fitness.

Wenn ich nicht gerade nach neuesten News für euch das Internet durchforste oder frisch gelaunchte Geräte teste, backe ich, tauche ein in die Welt von Azeroth, schmökere in Romanen auf meinem Kindle Paperwhite oder sitze mit einer Tasse Tee gemütlich auf dem Sofa, ganz im Sinne von Netflix & Chill. Dazu eine schlafende Katze auf dem Schoß und ich bin glücklich.

Du möchtest, dass dein Produkt bei uns vorgestellt wird oder hast Neuigkeiten, die wir unbedingt in die Welt hinausstreuen sollen? Dann melde dich am besten unter fschaub[at]purpleclouds.de.

Ich freue mich auf deine Nachricht!