Liebes Linux-Magazin-Team,

bitte beachten Sie die Informationen zu den verfügbaren Sicherheitsupdates
in der folgenden Sicherheitsmeldung.

Historie:

Version 2 (07.11.24):
Der Hersteller veröffentlicht Details zu drei weiteren Schwachstellen,
welche die Pixel-Hardware betreffen und einem lokalen Angreifer das
Ausspähen von Informationen und das Eskalieren von Privilegien
ermöglichen. Für die Ausnutzung sind niedrige Privilegien notwendig. Alle
Schwachstellen werden mit dem Patch-Level 2024-11-05 behoben.
Version 1 (06.11.24):
Neues Advisory

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um
Informationen auszuspähen, beliebigen Programmcode auszuführen und einen
Denial-of-Service (DoS)-Angriff durchzuführen. Zudem kann ein Angreifer
mehrere Schwachstellen lokal ausnutzen, um Dateien zu manipulieren,
Informationen auszuspähen, Privilegien zu eskalieren,
Sicherheitsvorkehrungen zu umgehen, beliebigen Programmcode auszuführen,
einen Denial-of-Service (DoS)-Angriff durchzuführen, falsche Informationen
darzustellen und nicht spezifizierte Angriffe durchzuführen. Ein Angreifer
mit physischem Zugriff auf ein betroffenes System kann eine Schwachstelle
ausnutzen, um Privilegien zu eskalieren.

Für die Ausnutzung der Schwachstellen sind unterschiedliche Privilegien
erforderlich. Mehrere Schwachstellen erfordern die Interaktion eines
Benutzers.

Google stellt die Patch-Level 2024-11-01 und 2024-11-05 als
Sicherheitsupdates bereit, mit denen die Schwachstellen behoben werden. Der
Patch-Level 2024-11-01 behebt dabei Schwachstellen in Framework, System und
Google Play. Der Patch-Level 2024-11-05 behebt weitere Schwachstellen in
Kernel, Kernel LTS, Imagination Technologies-, MediaTek- und Qualcomm-
Komponenten.

Der Hersteller gibt weiterhin bekannt, dass die Schwachstellen
CVE-2024-43047 und CVE-2024-43093 in begrenztem Umfang aktiv ausgenutzt
werden.

Der Hersteller Samsung veröffentlicht ein Sicherheitsupdate, mit dem eine
Teilmenge der hier referenzierten sowie weitere Schwachstellen behoben
werden. Der Hersteller behebt zusätzliche Schwachstellen für Geräte aus
eigener Produktion. Der Patch-Level des veröffentlichten Sicherheitsupdates
wird mit ‘SMR Nov-2024 Release 1’ für Samsung-Geräte angegeben.

Hersteller (Partner) anderer Geräte wurden mindestens einen Monat vor
Veröffentlichung dieser Meldung über die Schwachstellen informiert.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Schwachstellenarchiv unter:
[https://adv-archiv.dfn-cert.de/adv/2024-2927]

Mit freundlichen Grüßen,
Ihr DFN-CERT Incident Response Team

—
(c) DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen ist auf den Ursprung in
angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für die DFN-CERT
Webseite. https://www.dfn-cert.de/impressum.html