Wat je moet weten
- Microsoft heeft ernstige kwetsbaarheden blootgelegd in vooraf geïnstalleerde Android-apps met miljoenen downloads.
- De beveiligingsfouten hadden aanvallers in staat kunnen stellen achterdeurtoegang te injecteren of controle te krijgen over miljoenen apparaten.
- Google en andere betrokken partijen hebben de kwetsbaarheden al gepatcht.
Een aantal ernstige beveiligingsfouten in een mobiel framework dat wordt gebruikt voor vooraf geïnstalleerde Android-apps van verschillende mobiele serviceproviders, kan miljoenen apparaten in gevaar hebben gebracht. Microsoft heeft deze kwetsbaarheden ontdekt, die inmiddels zijn gepatcht.
Het betrokken mobiele framework is ontwikkeld door mce Systems, een in Israël gevestigde leverancier van omnichannel device lifecycle management. Microsoft zei dat het de beveiligingsfouten aanvankelijk in september 2021 ontdekte en zowel mce Systems als de getroffen mobiele serviceproviders op de hoogte bracht van zijn bevindingen.
Microsoft identificeerde de kwetsbaarheden als CVE-2021-42598, CVE-2021-42599, CVE-2021-42600 en CVE-2021-42601, met een score van 7,0–8,9 (zeer ernstig).
De kwetsbaarheden troffen apps met miljoenen downloads, waardoor gebruikers mogelijk werden blootgesteld aan externe of lokale aanvallen. Volgens het 365 Defender Research Team van Microsoft zouden de fouten aanvallers via een achterdeur toegang kunnen hebben gegeven of hen in staat hebben gesteld "substantiële controle" te krijgen over kwetsbare apparaten.
"Uit onze analyse bleek verder dat de apps waren ingebed in de systeemimage van de apparaten, wat suggereert dat het standaardapplicaties waren die door telefoonproviders waren geïnstalleerd", legt Microsoft uit. "Alle apps zijn beschikbaar in de Google Play Store, waar ze de automatische veiligheidscontroles van Google Play Protect doorlopen, maar deze controles scanden voorheen niet naar dit soort problemen."
De beveiligingsfouten zijn inmiddels verholpen nadat Microsoft samenwerkte met mce Systems en Google. Android Central heeft contact opgenomen met Google voor commentaar en zal dit artikel bijwerken wanneer we een reactie ontvangen.
Gelukkig zijn er momenteel geen aanwijzingen dat de kwetsbaarheden in het wild zijn uitgebuit. Microsoft waarschuwt echter dat het kwetsbare framework mogelijk nog steeds aanwezig is in apps van andere telco's.
"Verschillende andere mobiele serviceproviders bleken het kwetsbare framework te gebruiken met hun respectievelijke apps, wat suggereert dat er mogelijk nog onontdekte providers zijn die mogelijk worden beïnvloed", zei de in Redmond gevestigde softwaregigant.
Dat heeft Microsoft toegevoegd Google Play Protect scant nu op dit soort kwetsbaarheden.
Dat gezegd hebbende, benadrukt het de risico's die gepaard gaan met vooraf geïnstalleerde apps die bij veel van de huidige worden geleverd beste Android-telefoons en zijn onmogelijk te verwijderen zonder root-toegang.
Google Pixel 6 Pro
De Google Pixel 6 Pro is een uitstekend Android-toestel, met zijn strakke design en indrukwekkende prestaties. Het heeft ook een veelzijdige camera-instelling met verbeterde hardware, zodat u altijd de beste foto's krijgt.