News März-Update für Android: Google schließt Sicherheitslücken auf der Pixel-6-Serie

[Tulol]

Mhmmhmhmm....
Immer noch keine frei wählbaren Farben für das UI, keine verkleinerung der Eier in der Statusleiste, keine echten RAWs, kein Sensorcrop bei Videoaufnamen zwecks verlustfreiem Zoom, keine Fotos in Sensorauflösung ohne Resampling.


Wo sind also die echten Features? Nicht so ein Bullshit der teils in DE nicht mal verfügbar ist.

 

[CB.R]

Nur mal interessehalber,
ist ein Pixel 6a mit GrapheneOS durch diese Sicherheitslücke auch angreifbar?

Na sicher, es betrifft ja das Design der Hardware nicht das OS.

 

[GokuSS4]

Ich habe doch extra ausgeführt warum das für Google mit dem Tensor nicht funktioniert. Ein Exynos ist einfach nur ein Chip nach ARM Baukasten wie der Snapdragon (zuletzt) auch, die kann man relativ einfach austauschen.
Der Tensor hat mit der TPU eine von Google entwickelte spezialisierte KI/ML Einheit welche z.B. für die Kamera, Bildbearbeitung, lokale Übersetzung/Transkription usw genutzt wird und entsprechendes gilt für den Security Core.

was macht denn ein Qualcomm Spectra/Hexagon?

 

[|Moppel|]

Man kann VoLTE und WLAN Call problemlos ausschalten. Mir ist kein Provider bekannt, der das blockiert.

Bei Vodafone lässt sich VoLTE nicht deaktivieren beim Pixel 6.

Hier auch im Android Hilfe Forum die Thematik.

 

[NameHere]

Nur mal interessehalber,
ist ein Pixel 6a mit GrapheneOS durch diese Sicherheitslücke auch angreifbar?
Kenne mich da zu wenig aus.

Weniger anfällig, aber vorhin kam ein Systemupdate rein.

 

[arvan]

Nur mal interessehalber,
ist ein Pixel 6a mit GrapheneOS durch diese Sicherheitslücke auch angreifbar?
Kenne mich da zu wenig aus.

Kommt drauf an, ist die Sicherheitslücke im Kernel oder im Baseband/Modem? Dann musst du das natürlich auch mal regelmäßig updaten. Kann man theoretisch aus den OTA/Factory Images manuell extrahieren und flashen. So hat man das früher gemacht.

 

[MiniGamer]

Habe auf meinem Pixel 6a mit GrapheneOS soeben das neuste Update datiert von gestern (2023032000) erhalten und installiert.

Ich mag Google und dessen Datenkraken überhaupt nicht, aber finde das Google Project Zero eine tolle Sache.

Hut ab von den GrapheneOS-Entwicklern welche die Updates immer so zeitnah zur Verfügung stellen.
Unterstütze das gerne mit einem monatlichen Betrag.

 

[siggi%%44]

Weiß jemand ob man herausfinden kann, ob man betroffen ist?
Ich denke es gibt genügend Listen mit allen möglichen Telefonnummern aus irgendwelchen Leaks

PS: Bei einem solchen Artikel würde ich mir von Seiten der Redaktion teilweise ebenfalls etwas hintergrund Recherche bzw. referenzen wünschen.

Du hast doch selbst den Link gesetzt, in dem alle Infos aus erster Hand nachzulesen sind. Welche Listen willst du denn haben? Glaubst du, Samsung und Google haben diese Lücken nur deswegen entdeckt, weil sie angerufen worden sind und es danach bemerkt haben? Es gibt keine Nummern und daher auch keine Liste mit solchen. Diese Lücken wurden nicht gemeldet, sie wurden von ihnen selbst entdeckt.

Das ist ja genau das, was offensichtlich die meisten nicht verstehen an diesen Patches. Die 0-day Exploits sind theoretische Konstrukte, die es in der Realität so gut wie gar nicht gibt. Darum sind sie auch immer im Konjunktiv formuliert. Neben den Researchern von Google und anderen Herstellern, die solche Vulnerables suchen, kommen auch Hinweise von allen (Hobby-)Entwicklern, die sich mit den Quelltexten beschäftigen. Google z.B. hat ein eigenes Programm ins Leben gerufen und zahlt jedem, der solche Exploits entdeckt, eine Belohnung. Dabei geht es um Summen von bis zu 1 Mio. $. Viele Exploits wurden nie geschrieben und daher auch nie ausgeführt im wirklichen Leben.

Ergänzung (22. März 2023)

Mit diesem Update werden außerdem sechs weitere kritische und 52 moderate Lücken geschlossen. Das sind insgesamt satte 58 Lücken, Leute! Die meisten dieser Lücken ermöglichten die Ausführung von beliebigem Code, ohne dass der Benutzer eingreifen musste. Geht es nur mir so, oder scheinen diese Geräte mehr Lücken zu haben als Schweizer Käse?

Überraschung!!: Das passiert jeden Monat. Und wieder Überraschung: Es gibt bisher niemanden, der diesen Exploit genutzt hat. Das gilt für so gut wie alle Patches.

 

[wolve666]

Tja und mal wieder wurde eine von bestimmt noch vielen Sicherheitslücken geschlossen,die auf den Handys so existieren

Erzähl Mal, welche es noch so gibt. Ist doch prima, wenn bekannte Lücken geschlossen werden. Oder was soll dein Beitrag sagen?

 

[siggi%%44]

Andererseits fördert so eine gravierende Sicherheitslücke nun auch nicht gerade das Vertrauen...

Es wurde in einem vorherigen Post schon beschrieben, aber ich formuliere es mal so: Kauf dir gerne ein anderes Gerät, mit anderem SoC. Die haben nämlich solche Sicherheitslücken bisher im Source Code nicht (GEFUNDEN!). Sei einfach um jede Lücke froh, die gefunden und geschlossen wird. Sie kann auch anderen Herstellern helfen, die sich jetzt aufgrund dessen mit dem Thema beschäftigen und vielleicht eine andere Lücke bei sich finden und so geht's weiter. Auch Google wird min. die nächsten 7 Jahre solche Patches veröffentlichen. Fürs gesamte AOSP/SoCs/Kernel. Jeden Monat. Das sind keine Lücken, die jmd. geschadet haben. Sie wurden von Samsung und Google selbst entdeckt. Das wird auch glücklicherweise nicht so schnell aufhören.

 

[Looniversity]

Die haben nämlich solche Sicherheitslücken bisher im Source Code nicht (GEFUNDEN!). Sei einfach um jede Lücke froh, die gefunden und geschlossen wird. Sie kann auch anderen Herstellern helfen, die sich jetzt aufgrund dessen mit dem Thema beschäftigen und vielleicht eine andere Lücke bei sich finden und so geht's weiter.

Ja, das stimmt natürlich. Ich bevorzuge ja auch nicht die Zahnärzte, die nie Löcher finden [auch wenn wirklich welche da sind]... In diesem Kontext tut sich mein Hirn nur leider schwer damit, das so zu akzeptieren, der logischen Einordnung zum Trotz.

Aber es wird wohl in der Tat auf ein Pixel 6a hinauslaufen (Danke @Incanus und @DonConto, die USB-C DACs kannte ich noch gar nicht!) - meine aktuelle Alternative, ein Nokia G60 5G 6GB, ist auch nicht so ganz das Wahre... Und beim Pixel war der Zahnarzt zumindest gründlich.

 

[Magellan]

was macht denn ein Qualcomm Spectra/Hexagon?

Ich vermute die meisten SoC haben spezialisierte Einheiten für KI Aufgaben, ob beim Snapdragon der Hexagon oder beim Exynos die NPU - Google nutzt aber eben nicht Samsungs NPU sondern hat viel Aufwand betrieben die eigene TPU zu integrieren. Ich kann mir nicht vorstellen dass die diesen Weg einfach wieder fallen lassen nur um den Fertiger zu tauschen.

 

[run_for_fun]

Ich stelle mir diese Meldung im IPhone-Forum vor und die Seite von Computerbase würde implodieren…. Und ihr hier so: Och - nur 6 kritische Lücken - Hätten ja auch alle 58 sein können

 

[siggi%%44]

Hätten ja auch alle 58 sein können

Auf den allgemeinen Android Patch bezogen und nicht auf den Pixel Patch, sind die über 50 Lücken verteilt auf alle CPU-Hersteller und die Versionen von Android 11,12,12L und 13. Nur leider klingt es in den Medien immer dramatischer und damit gleich besser, wenn alle Lücken jeden betreffen. Umso besser lässt sich dann auch gegen Google schießen. Übrigens: Unter diesen Patches ist auch der Linux-Kernel. Das sieht's genauso aus, nur bekommt man mit dem langweiligen Thema kaum Klicks.

 

[DarkSoul]

wenn du nachweisen kannst, dass diese sicherheitslücke vorsatz war, dann kann man in dieser richtung weiter diskutieren. ansonsten ist dieser gedankengang einfach nur unsinn.

Das ist kein Unsinn, Spionage ist ganz normal, ich sag nur Merkel Handy. Ich muss übrigens gar nichts nachweisen, ich wollte hinweisen mit welcher Brille die Welt aktuell gesehen wird.

du bist samsung-fan, bedauerst es aber, dass es noch nicht verboten wurde...?!

Nein, das hast Du falsch verstanden.

 

[Hannibal Smith]

Du hast doch selbst den Link gesetzt, in dem alle Infos aus erster Hand nachzulesen sind. Welche Listen willst du denn haben? Glaubst du, Samsung und Google haben diese Lücken nur deswegen entdeckt, weil sie angerufen worden sind und es danach bemerkt haben? Es gibt keine Nummern und daher auch keine Liste mit solchen. Diese Lücken wurden nicht gemeldet, sie wurden von ihnen selbst entdeckt.

Das ist ja genau das, was offensichtlich die meisten nicht verstehen an diesen Patches. Die 0-day Exploits sind theoretische Konstrukte, die es in der Realität so gut wie gar nicht gibt. Darum sind sie auch immer im Konjunktiv formuliert.

Da hast du mich falsch verstanden.
Was mich interessiert ist, wie bzw. ob es für mich zu überprüfen ist, ob ich davon betroffen bin d.h. ob der Exploit schon aktiv ausgenutzt wird.
Schließlich steht in dem von Google veröffentlichten Text folgendes:

Tests conducted by Project Zero confirm that those four vulnerabilities allow an attacker to remotely compromise a phone at the baseband level with no user interaction, and require only that the attacker know the victim's phone number. With limited additional research and development, we believe that skilled attackers would be able to quickly create an operational exploit to compromise affected devices silently and remotely.

... und der Artikel wurde knapp eine Woche vor der Verfügbarkeit des Updates (auf meinem Pixel6) gepostet.

Zu deinem unteren Absatz kannst du ja mal M$ fragen, ob die das auch so sehen, gerade in Bezug auf ihren Exchange

 

[badfallenangel]

Welches Pixel?

Pixel 6.

Ich nutze es beruflich, telefoniere also viel damit. Keine Spiele, nur normales Arbeiten, E-Mails, mal was googeln, nix weltbewegendes. Bei gleicher Nutzung hielten die Sammys mit Snapdragon gerne doppelt so lange. War von den alten Google-Phones (ich nutze Google eigene Phones seit dem Galaxy Nexus) mehr begeistert.

Ich denke heute würde ich ein Sammy als FE nehmen.

 

[siggi%%44]

Was mich interessiert ist, wie bzw. ob es für mich zu überprüfen ist, ob ich davon betroffen bin d.h. ob der Exploit schon aktiv ausgenutzt wird.

Der Exploit ist nicht mal geschrieben. Warum sollte es noch jemand machen, wenn die Lücke schon zu 95% nach Veröffentlichung geschlossen ist? Sowas muss gezielt eingesetzt werden. Du kannst ja nicht irgendeine beliebige Nummer anrufen und hoffen, dass es ein Pixel 6 ist und prüfen, ob es funktioniert hat. Damit schaffst keine 100 Nummern am Tag. Die Nummer zu kennen bringt dir auch keinen Vorteil, weil sie bei jedem Anruf geändert werden kann.
"Project Zero glaubt, ein erfahrener Angreifer wäre in der Lage, schnell einen Exploit zu schreiben." Vielleicht, vielleicht auch nicht. Geh davon aus, dass dein Pixel nicht unter der Kontrolle eines anderen steht.

 

[LucLeto]

Achtung das ist mit dem Update vom 1. März eben noch nicht behoben: https://semiconductor.samsung.com/support/quality-support/product-security-updates/

@eRacoon April Update ist da
Jetzt sollten die Sicherheitsprobleme im Modem im Zusammenhang mit VoIP Telefonie und WLAN-Call behoben sein: https://security.samsungmobile.com/securityUpdate.smsb
Edit Bezug auf Samsung Galaxy Geräte die betroffen waren!