Vorabversion von Android 13. Entfernte Sicherheitsanfälligkeit in Android 12

Das Unternehmen Google hat die erste Testversion der offenen mobilen Plattform Android 13 vorgestellt. Der Release von Android 13 wird im dritten Quartal 2022 erwartet. Um die neuen Möglichkeiten der Plattform zu bewerten, wurde ein Programm für die Vorabprüfung angeboten. Die Firmware-Bausteine wurden für die Geräte Pixel 6/6 Pro, Pixel 5/5a, Pixel 4/4 XL/4a/4a (5G) vorbereitet.

Die zentralen Neuerungen von Android 13:

• Eine Systemoberfläche zur Auswahl von Fotos und Videos wurde implementiert, sowie eine API für die selective Bereitstellung des Zugriffs von Apps auf die ausgewählten Dateien. Es ist sowohl die Arbeit mit lokalen Dateien als auch mit in Cloud-Speichern gespeicherten Daten möglich. Ein Merkmal der Oberfläche besteht darin, dass sie den Zugriff auf einzelne Bilder und Videos ermöglicht, ohne dass der App vollständiger Zugriff auf alle Mediendateien im Speicher gewährt werden muss. Zuvor wurde eine ähnliche Schnittstelle für Dokumente implementiert.
• Ein neuer Berechtigungstyp für Wi-Fi wurde hinzugefügt, der Apps, die für die Suche nach drahtlosen Netzwerken und die Verbindung zu Hotspots gedacht sind, die Möglichkeit bietet, auf eine Teilmenge der Wi-Fi-Verwaltungs-APIs zuzugreifen, mit Ausnahme von Aufrufen, die mit der Standortbestimmung zusammenhängen (früher erhielten Apps, die sich mit Wi-Fi verbinden, auch Zugriff auf Standortinformationen).
• Eine API wurde hinzugefügt, um Schaltflächen im Schnellzugriffsbereich am oberen Rand der Benachrichtigungsansicht anzuordnen. Mit dieser API kann die App eine Anfrage zur Platzierung ihrer Schaltfläche mit einer Schnellaktion darstellen, die es dem Benutzer ermöglicht, die Schaltfläche hinzuzufügen, ohne die App zu verlassen und separat zu den Einstellungen zu wechseln.
• Die Möglichkeit wurde bereitgestellt, den Hintergrund von Symbolen beliebiger Apps an das Farbschema des Designs oder die Farbe des Hintergrundbildes anzupassen.
• Die Möglichkeit hinzugefügt, individuellen Spracheinstellungen für Anwendungen zuzuordnen, die von den im System gewählten Spracheinstellungen abweichen.
• Die Worttrennung wurde optimiert (Trennung von Wörtern, die nicht in die Zeile passen, mit Hilfe von Bindestrichen). In der neuen Version wurde die Leistung der Trennung um 200 % erhöht und beeinträchtigt nun praktisch nicht die Rendergeschwindigkeit.
• Die Unterstützung für programmierbare Grafik-Shader (RuntimeShader-Objekte), die in der AGSL (Android Graphics Shading Language) definiert sind, wurde hinzugefügt. Diese ist eine Teilmenge der GLSL-Sprache, die für die Verwendung mit der Rendering-Engine der Android-Plattform angepasst wurde. Solche Shader werden bereits in der Android-Plattform selbst verwendet, um verschiedene visuelle Effekte zu realisieren, wie z.B. Pulsieren, Unschärfe und Dehnung beim Scrollen über den Seitenrand. Solche Effekte können jetzt auch in Anwendungen erstellt werden.
• Die grundlegenden Java-Bibliotheken der Plattform und die Entwicklungstools wurden auf OpenJDK 11 aktualisiert. Über Google Play ist das Update auch für Geräte mit Android 12 verfügbar.
• Im Rahmen des Mainline-Projekts, das es ermöglicht, einzelne Systemkomponenten ohne ein vollständiges Plattform-Update zu aktualisieren, wurden neue aktualisierbare Systemmodule vorbereitet. Die Updates betreffen hardwareunabhängige Komponenten, die über Google Play separat von den OTA-Firmware-Updates des Herstellers heruntergeladen werden. Zu den neuen Modulen, die über Google Play ohne Firmware-Update aktualisiert werden können, gehören Bluetooth und Ultra Wideband. Über Google Play werden auch Module mit dem Photo Picker und OpenJDK 11 verteilt.
• Die Tools zur Erstellung von Anwendungsoberflächen für größere Bildschirme, die in Tablets, faltbaren Geräten mit mehreren Bildschirmen und Chromebooks verwendet werden, wurden optimiert.
• Das Testen und Debuggen neuer Funktionen der Plattform wurde vereinfacht. Änderungen können jetzt selektiv für Anwendungen im Entwicklerbereich oder über das Tool adb aktiviert werden.

Zusätzlich wurde ein Februar-Update mit Sicherheitskorrekturen für Android veröffentlicht, das 37 Schwachstellen behebt, von denen 2 als kritisch und die übrigen als hochgefährlich eingestuft wurden. Kritische Schwachstellen ermöglichen einen Remote-Angriff zur Ausführung eigenen Codes im System. Als gefährlich eingestufte Probleme erlauben durch Manipulationen mit lokalen Anwendungen die Ausführung von Code im Kontext eines privilegierten Prozesses.

Die erste kritische Schwachstelle (CVE-2021-39675) wird durch einen Pufferüberlauf in der Funktion GKI_getbuf (Generic Kernel Image) verursacht und ermöglicht einen remote privilegierten Zugriff auf das System ohne jegliche Aktionen des Nutzers. Details zur Schwachstelle werden derzeit nicht veröffentlicht, jedoch ist bekannt, dass das Problem nur die Android 12-Version betrifft. Die zweite kritische Schwachstelle (CVE-2021-30317) befindet sich in geschützten Komponenten für Qualcomm-Chips.

Quelle: opennet.ru