[English]Google Sicherheitsforscher haben im Project Zero eine Schwachstelle (CVE-2022-33917) im Kerneltreiber der in vielen Android-Geräten mit ARM CPU verwendeten Mali GPU offen gelegt. ARM hat die Schwachstelle zwar beseitigt, aber viele OEMs haben diesen Patch noch nicht auf ihre Android-Geräte ausgerollt – und noch mehr Geräte bekommen keine Android Sicherheitsupdates mehr.
Anzeige
Am 6. Januar 2022 wurde im Kernel-Treiber der Mali GPU eine Schwachstelle CVE CVE-2022-22706 entdeckt. Dadurch kann die ARM CPU read-only-Seiten (RO) im Speicher beschreibbar machen. Ein nicht privilegierter Benutzer kann dadurch Schreibzugriffe auf Nur-Lese-Speicher-Seiten erhalten. Project Zero Sicherheitsforscherin Maddie Stone hat sich dann diesen Bereich genauer angesehen und fand weitere fünf Schwachstellen. Die Sicherheitsforscher informierten den Hersteller ARM über diese Schwachstellen, der diese auch in seinem Treiber behoben hat.
Problem fehlender Patches
Aber dieser Fix gelangte bisher nicht auf die Android-Geräte der Endanwender. Smartphone-Hersteller wie Samsung, Xiaomi, Oppo und Google selbst hatte bis Anfang letzter Woche noch keine Patches zur Behebung der Sicherheitslücken bereitgestellt, so die Sicherheitsforscher von Project Zero im Beitrag Mind the Gap.
Im Juni 2022 hielt die Project Zero-Forscherin Maddie Stone auf der FirstCon22 einen Vortrag mit dem Titel 0-day In-the-Wild Exploitation in 2022…so far. Eine wichtige Erkenntnis war, dass etwa 50 % der beobachteten 0-Days in der ersten Hälfte des Jahres 2022 Varianten von bereits gepatchten Sicherheitslücken waren.
Die Beobachtung der Sicherheitsforscher: Angreifer gehen den Weg des geringsten Widerstands, und solange die Hersteller bei der Behebung von Sicherheitslücken keine gründliche Ursachenanalyse durchführen, wird es sich auch weiterhin lohnen, Zeit in die Ausnutzung bekannter Schwachstellen zu investieren, statt nach neuen Schwachstellen zu suchen.
Anzeige
Hier zeigt sich ein Problem der Android-Landschaft: Eine Vielzahl der Geräte erhält Sicherheitsupdates nur sehr verspätet – und etwas ältere Geräte fallen aus der Versorgung mit Android-Sicherheitsupdates sogar ganz heraus. Auf der anderen Seite versuchen immer mehr Organisationen wie Banken, Krankenkassen etc. diese Geräte für sensible Online-Operationen (Banking, Verwaltung von Gesundheitsdaten, Ausweisen, Führerscheinen etc.) salonfähig zu machen. Das kann auf lange Sicht nur schief gehen. (via)
Anzeige
Smartphones sind Computer, und als solches, sollten sie ein offenen bootloader haben und Frei wählbare generische Betriebssysteme laden.
So wie PC's wenn man z.b. Windows benutzt kann jeder PC mit Windows weltweit am selben Tag gepatched werden, den es gibt nur "ein" Windows für alle (mehr oder weniger).
Und nicht ein Windows für Dell eines für Lenovo ein anderes für Medion und so weiter und sofort.
Als Handys nur 250MB RAM und 4GB flash hatten, ja ok ein generisches OS Image mit Support für 1000 verschiedene nicht vorhandene Hardware wäre nicht ganz praktikabel.
Aber heute hat jedes Smartphone viele viel GB's an RAM und ROM da muss ein generisches Android für alle dein sein.
Das muss google einfach mal durchdrücken, die haben die macht, den keine will auf google services verzichten.
Einfach verordnen das nur Hersteller welche deren original google Android Image ausliefern die G-Apps benutzen dürfen und Voila.
Das Problem wäre von heute auf morgen weg, für neue Geräte.
Und Google macht ja ihr Geld mit den Daten der User nicht mit Lizenzen von daher kann es den völlig egal sein wie viele Jahr(zehnte) User ein ein mal gekauftes und aktuell gehaltenes Android gerät benutzen.
VG
David X.
Nett gedacht aber auch normale Desktops sind alles andere als frei, das fängt schon mit dem Microcode in deiner AMD/Intel-CPU an.
Smartphones sind weit aus fragmentierter. Es gibt viel mehr SoCs, viel mehr Sensoren als nur 2 Hersteller, zig Basisbandmodems, dutzende verschiedene WLAN-Chips. LineageOS wird nur für einen Bruchteil der Geräte angeboten und oft sind viele Updates und workarounds nötig.
Hatte mal Lineage auf einem Gerät, das kein Galaxy war. Man war das ein Krampf bis alles halbwegs ging, nur weil es kein Mainstremgerät war. Mal Debian auf einem Laptop, musste einen firmware cutter anwenden für das Broadcom-WLAN-Modul.
Firmware zum Booten im Raspi, ebenfalls proprietär:
start*.elf, fixup*.dat and bootcode.bin are the GPU firmwares and bootloader. Their licence is described in boot/LICENCE.broadcom.
Wenn es dich stört kaufe dir ein Pixel und installiere GrapheneOS. Es gibt nur bestimmte Geräte die "freier" sind als andere. Aber die Ketten wird man nie ganz los.
> Nett gedacht aber auch normale Desktops sind alles andere als frei, das fängt schon mit dem Microcode in deiner AMD/Intel-CPU an.
Entschuldige aber auf gut deutsch: Drauf Ge2!s3n
Solange das gerät ohne zu murren alles bootet ist die frage ob firmware blobs, microcode oder selbst Treiber Quell offen sind relativ irrelevant.
Wenn jetzt ein Treiber ein bösen bug hat ist es ärgerlich aber dann muss man nur den einen Treiber ersetzen und das kann man einfacher als ein ganzes OS.
Außerdem Windows ist ja auch nicht frei und dennoch ist es Sicherheitstechnisch aus Sicht der updates 100x besser als Android.
Einfach weil man es updaten kann fast ad infinitum und die alten Treiber so denn es keine neuen gibt gehen meist auch.
Klaar nicht immer manchmal findet sich der eine oder andere Treiber der nach einem großen OS Upgrade einfach nicht mehr will aber das ist doch eher selten.
Und so oder so ähnlich sollte es eben auch für Smartphones sein,
sprich HW aus einer Hand OS ans einer anderen und OS Updates biss man das Ding aus Frust über die nach 10 Jahren einfach nicht mehr akzeptable Leistung gegen die nächstgelegene wand mit voller Wucht schleudert.
So sollte IT sterben, durch wegen lahmheit verursachte physische Gewalt und nicht wegen fehlender Updates. LOL
Schön das der Kern meiner Aussage wegrationalisiert wurde. Smartphones sind weit aus mehr als nur Intel/AMD CPUs, NVIDIA/AMD GPUs, Realtek oder Intel Netzwerkchips.
Das auf PCs mittlerweile fast alles immer geht verdanken wir extremen Monokulturen. Was war ich froh als endlich WLAN und Kamera damals bei meinem LineageOS ohne Probleme gingen.
> Das auf PCs mittlerweile fast alles immer geht verdanken wir extremen Monokulturen.
Nein nicht wirklich, das auf PCs mittlerweile fast alles immer geht verdanken wir Standardisierung und generischen Treibern.
Ich kann mich noch an meine erste web cam erinnern die den USB Video Classs standard nicht konnte, die ist jetzt e-schrott weil es keinen 64 bit Treiber mehr dafür gibt.
Wohingegen nahezu jede webcam die man so aus einem nicht ganz so altem Laptop ausschlachtet, auf Anhieb an jedem Windows/Linux PC und auch Android erkannt wird und funktioniert.
Und Intel hat es ja auch geschafft das sehr viele auch alte spiele passabel mit ihren neuen von Grund auf entwickelten ARC Grakas laufen.
Das liegt nicht an einer Monokultur sondern an guter Standardisierung generischer Komponenten und über Jahrzehnte stabilen Kernel APIs für die Treiber.
Daran müssten sich mal die Linux Hardcore Fundamentalisten mal ein Vorbild nehmen, eidlich mal eine stabiler Kernel API so das man auch eine Treiber BLOB über zumindest einige Kernel Major Releases hinweg benutzen kann.
Und eben auch auf ein Modell setzen wo es normal ist das Treiber als eigene Module daher kommen und nicht vorrangig in den Kernel integriert werden müssen.
Und ein Handy hat nicht so viele Komponenten, eine ARM CPU, irgend ein eMMC oder NVMe storage Adapter, ein WIFI/BT chip und eine modem, dazu einpaar kammeras und ein display, plus etwas peripherie für 1-2 tasten.
Das ist alles überschaubar wenig.
Das könnte man gut standardisieren und Voilà ein und das selbe Android das auf allen modernen Smartphones laufen kann.
"Außerdem Windows ist ja auch nicht frei und dennoch ist es Sicherheitstechnisch aus Sicht der updates 100x besser als Android."
*prust*
Und lies den Artikel noch mal genauer… das Problem ist hier nicht Android. Das ist eher den Abzock-Herstellern zuzuschreiben, die nach dem Motto "Fire & Forget" verkaufen und von den KAUF-SCHAFEN fleißig weiterempfohlen werden.
Von Xiaomi rate ich schon ewig ab: Trojaner inside, Werbebanner in Systemapps, miese Qualität.
Samsung hat auch nur eine gute Werbeabteilung, das OS ist grottig schlecht. KNOX auch heute noch zum davonlaufen.
Wer günstig und passabel will: Motorola. Ein nahezu natives Android, regelmäßige Updates und gutes P/L-Verhältnis.
Zahlt aber nicht soviel für Werbung… darum schneidet es häufig nur befriedigend/gut ab.
Mal selber kaufen und in die Hand nehmen, dann greift man freiwillig nicht mehr zu den bekannten Schlecht-Herstellern.
Naja, Microcode ist so ein Relikt aus den 60ern, das jetzt endlich aussterben wird, wenn ARM und RISC-V Intel und AMD killen werden.
Ich sage schon lange: Treiber (nicht Firmware!) sind technisch Teile des Betriebssystems und gehören daher nicht in die Hände der Gerätehersteller.
Ja wären schön wenn man alles offenlegen könnte und auf Patente verzichten könnte, ohne das dir die Konkurrenz deine teure Forschung einfach klaut.
Quatsch mit Soße!!!
Die Forschung steckt primär in der Hardware nicht im Treiber.
Und konkurenz kan so einen treiber im nur reverse enginieren wen da doch relevante IP drin stecken sollte.
Also für HW Hersteller ist es reine Bosheit die Treiber nitch offen zu legen.
Unerhört. Sie sollten sich bitte einlesen wie viel IP in einem Treiber oder einem BIOS stecken kann:
https://en.wikipedia.org/wiki/Clean_room_design
Stichwort: IBM-compatible BIOS und Phoenix.
https://de.wikipedia.org/wiki/Reinraum-Implementierung
Sie haben leider nicht das historische Wissen um mein Argument stichhaltig entkräften zu können. Das IBM schon so früh einen extrem Konkurrenzdruck bekam lag eben daran, dass man Patentrecht mit einem Trick umgehen konnte.
Heute wird Firmware teils erst in der CPU entschlüsselt:
https://www.golem.de/news/cpu-entschluesselungswerkzeug-fuer-intels-microcode-verfuegbar-2207-166991.html
Ich werde mich jetzt aus Diskussionen mit Ihnen zurückziehen, da sie die Netiquette nicht einhalten.
> Heute wird Firmware teils erst in der CPU entschlüsselt
Und trotzdem hat Intel eine GPU fabriziert auf der ohne Anpassungen spiele laufen welche für NVidia/AMD(ATI) Grakas entwickelt wurden.
Mir ist die Geschichte um "IBM Kompatibel" sehr wohl bekannt und MMN ist das ein Muster Beispiel wie es ablaufen sollte. So und nicht anders sollte es immer sein. Leine künstlichen Lockouts und erzwungene Inkompatibilitäten, echter Wetbewerb. Die beste/billigste Hardware welche die standards erfüllt gewint und alle anderen die es nicht drauf haben oder den Kunden ab zocken wollen verlassen den Markt.
Das wichtige am IBM BIOS war ja nicht seine Implementierung (urheberrechtlich geschützt) sondern die Schnittstellenspezifikation welche zu recht nicht IP rechtlich geschützt werden kann.
Das das Firmen ggf nicht in den Kram passt ist verständlich, das verbot von Blei in Lebensmitteln und Wandfarben passt sicher der einen oder anderen Firma auch nicht.
So einfach kann es sein, Sie wollen doch sicher nicht das eine Firma am Markt bleibt welche schlechtere und teurere Produkte aus die Konkurrenz herstellt und trotzdem überlebt weil ihre Kunden auf Grund von historischen Gegebenheiten, VendorLockIn gezwungen sind diese Produkte weiterhin zu nutzen?
Nichts anderes als eben solche Art künstlicher Kunden Geiselnahme ist es wenn man anstelle von offenen Standards für proprietäre Schnittellen eintritt.
Wenn man schon die Hardware nicht so herstellt das diese von vornherein mit standardisierten Treibern kann sollte man zumindest die Treiber offen legen müssen.
Und die wirtschaftlichen Konsequenzen dessen sind sehr wohl gesellschaftlich erwünscht.
Patente haben doch gerade den Zweck, Sachen offenzulegen. Dafür kriegt man dann einen Schutz.
Das war zwar der Gedanke hinter den Patenten, aber ohne begleitende Vorschriften zur verpflichtenden erschwinglichen Lizenzierung der Patente führen sie nur dazu, daß die Entwicklung des "Stand der Technik" um 20 Jahre verzögert wird und entsprechende Fachanwälte sich goldene Nasen verdienen.
Laut Bugtracker wären es gar nicht so viele Geräte:
According to that blogpost, this feature exists in Mali-G710, Mali-G610,
Mali-G510 and Mali-G310.
These chips have now made it into a small number of smartphones
according to gsmarena.com:
https://www.gsmarena.com/results.php3?sFreeText=Mali-G710
https://www.gsmarena.com/results.php3?sFreeText=Mali-G610
https://www.gsmarena.com/results.php3?sFreeText=Mali-G510
https://www.gsmarena.com/results.php3?sFreeText=Mali-G310
Quelle:
https://bugs.chromium.org/p/project-zero/issues/detail?id=2325#c5
Die Firmen entwickeln neue Sachen, um damit Geld zu verdienen!
Wenn es keine Patente gäbe, würden die Firmen mit ihren Produkten deutlich weniger Geld verdienen, weil andere es billiger nachbauen. Und die Nachbauer sind immer billiger, weil sie keine Entwicklungskosten haben, die sie auf das Produkt umlegen müssen.
Ergo schützt man sein Eigentum.
Würde der Patentschutz fallen, würde kaum noch eine Firma etwas entwickeln, weil sie die Entwicklungskosten nicht wieder rein bekommt.
Firmen sind keine Wohltätigkeitsvereine. Der einzige Zweck einer Firma ist das Geldverdienen, egal in welcher Branche. Das Produkt ist nur Mittel zum Zweck.
Wo verlangt hier jemand patente oder IP in allgemeinem abzuschaffen?
Es wird doch höchstens nur gefordert das Treiber Quell offen sein sollten.