CVE-2011-1823
Android OS Privilege Escalation Vulnerability
Beschreibung
CVE-2011-1823 ist eine Privilege-Escalation-Schwachstelle im Android-Betriebssystem, die den vold-Volume-Manager-Daemon ausnutzt, um Root-Rechte zu erlangen. Der vold-Daemon vertraut Nachrichten, die über einen PF_NETLINK-Socket empfangen werden, ohne ordnungsgemäße Validierung, wodurch ein lokaler Angreifer manipulierte Nachrichten senden kann, die beliebige Codeausführung mit Root-Zugriff auslösen. Diese Schwachstelle ist mit dem bekannten GingerBreak-Exploit und der Malware-Familie Exploit.AndroidOS.Lotoor verbunden, die weit verbreitet zum Rooten von Android-Geräten eingesetzt wurden. Die CISA hat CVE-2011-1823 in ihren KEV-Katalog aufgenommen, und mit einem EPSS-Score von 34,4 % (97. Perzentil) bleibt die Ausnutzungswahrscheinlichkeit hoch.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| android | >= 2.0, < 2.3.4; 3.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://android.git.kernel.org/?p=platform/system/core.git%3Ba=commit%3Bh=b620a0b1c7ae486e979826200e8e441605b0a5d6(Broken Link)
- http://android.git.kernel.org/?p=platform/system/netd.git%3Ba=commit%3Bh=79b579c92afc08ab12c0a5788d61f2dd2934836f(Broken Link)
- http://android.git.kernel.org/?p=platform/system/vold.git%3Ba=commit%3Bh=c51920c82463b240e2be0430849837d6fdc5352e(Broken Link)
- http://androidcommunity.com/gingerbreak-root-for-gingerbread-app-20110421/(Broken Link)
- http://c-skills.blogspot.com/2011/04/yummy-yummy-gingerbreak.html(Exploit, Issue Tracking)
- http://forum.xda-developers.com/showthread.php?t=1044765(Exploit, Issue Tracking)
- http://www.androidpolice.com/2011/05/03/google-patches-gingerbreak-exploit-but-dont-worry-we-still-have-root-for-now/(Press/Media Coverage)
- http://xorl.wordpress.com/2011/04/28/android-vold-mpartminors-signedness-issue/(Exploit)
- https://exchange.xforce.ibmcloud.com/vulnerabilities/67977(Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2011-1823(US Government Resource)
Schwachstellentyp
CWE-269: Unzureichendes Privilegienmanagement
CVE-2011-1823 nutzt eine Schwäche im Privilegienmanagement des Android-vold-Volume-Manager-Daemons aus, der mit Root-Rechten läuft, aber die Quelle und den Inhalt von Nachrichten, die über PF_NETLINK-Sockets empfangen werden, nicht ordnungsgemäß validiert. Durch das Vertrauen in nicht authentifizierte Nachrichten von diesen Sockets ermöglicht der Daemon unprivilegierten Prozessen, privilegierte Operationen auszulösen, was zu einem vollständigen Zusammenbruch der Privilegiengrenze zwischen Benutzeranwendungen und Root-Level-Systemdiensten führt.
Mehr erfahren: CWE-269 — Unzureichendes Privilegienmanagement
Auswirkungsanalyse
CVE-2011-1823 stellt eine kritische Bedrohung durch Privilegieneskalation für Android-Geräte dar. Die Schwachstelle ist lokal durch jede auf dem Gerät laufende Anwendung ausnutzbar, ohne besondere Berechtigungen oder Benutzerinteraktion zu erfordern. Eine erfolgreiche Ausnutzung gewährt Root-Zugriff auf das Android-Betriebssystem, wodurch ein Angreifer die gesamte Anwendungs-Sandbox umgehen, auf alle Benutzerdaten zugreifen, persistente Malware installieren, Systemkonfigurationen ändern und die gesamte Kommunikation abfangen kann. Die Verbindung mit dem GingerBreak-Rooting-Tool und der Exploit.AndroidOS.Lotoor-Malware zeigt, dass diese Schwachstelle sowohl für legitime als auch für bösartige Zwecke umfassend weaponisiert wurde. Mit einem EPSS-Score von 34,4 % (97. Perzentil) bleibt die Ausnutzungsaktivität signifikant.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2011-1823 bestätigt, indem sie die Schwachstelle in den KEV-Katalog aufgenommen hat. Der EPSS-Score von 34,4 % (97. Perzentil) spiegelt eine hohe Ausnutzungswahrscheinlichkeit wider, getrieben durch die breite Verfügbarkeit des GingerBreak-Exploit-Tools und der Exploit.AndroidOS.Lotoor-Malware-Familie. Öffentlicher Exploit-Code ist seit 2011 verfügbar, und die Schwachstelle war einer der am weitesten verbreiteten Android-Rooting-Vektoren während der Android 2.x- und 3.x-Ära. Obwohl die Schwachstelle hauptsächlich ältere Android-Versionen betrifft, sind viele Geräte mit diesen Versionen weltweit noch in Betrieb.
Behebung
- Android-Updates gemäß Herstelleranweisungen anwenden: Gemäß der CISA-KEV-Vorgabe die von Geräteherstellern bereitgestellten Updates installieren, die die vold-Daemon-Schwachstelle beheben.
- Auf eine unterstützte Android-Version upgraden: Geräte, die von CVE-2011-1823 betroffene Android-Versionen (hauptsächlich Android 2.x und 3.x) ausführen, sollten auf Android 4.0 oder höher aktualisiert werden.
- Geräte ersetzen, die nicht aktualisiert werden können: Android-Geräte, die von ihren Herstellern nicht mehr unterstützt werden, durch neuere Geräte mit aktuell unterstützten Android-Versionen ersetzen.
- Mobile-Device-Management (MDM) einsetzen: MDM-Richtlinien implementieren, um gerootete Geräte zu erkennen und den Zugriff auf sensible Unternehmensressourcen von Geräten mit verwundbaren Android-Versionen einzuschränken.
- Auf Root-Exploit-Indikatoren überwachen: Auf verwalteten Geräten Endpoint-Security-Lösungen nutzen, um Anzeichen von Root-Ausnutzung zu erkennen, einschließlich unerwarteter Privilegieneskalation oder Modifikation von Systempartitionen.
Technische Details
CVE-2011-1823 zielt auf den vold-Prozess (Volume-Daemon) im Android-Betriebssystem, der für die Verwaltung externer Speichervolumes wie SD-Karten und USB-Laufwerke zuständig ist. Der vold-Daemon läuft mit Root-Rechten und kommuniziert mit dem Kernel und anderen Systemkomponenten über Netlink-Sockets (PF_NETLINK). Die Schwachstelle besteht darin, dass vold Nachrichten, die auf dem Netlink-Socket empfangen werden, blind vertraut, ohne die Identität oder Privilegienstufe des Absenders zu überprüfen. Eine unprivilegierte Anwendung kann einen PF_NETLINK-Socket erstellen und manipulierte Nachrichten senden, die von legitimen Kernel-Nachrichten nicht zu unterscheiden sind. Durch das Senden speziell formatierter Volume-Management-Befehle kann der Angreifer vold dazu bringen, Operationen mit Root-Rechten auszuführen, die normalerweise dem Kernel vorbehalten wären, und so beliebige Codeausführung als Root zu erreichen.
Häufig gestellte Fragen
Wird CVE-2011-1823 aktiv ausgenutzt?
Ja. Die CISA hat CVE-2011-1823 in ihren KEV-Katalog aufgenommen und damit die aktive Ausnutzung bestätigt. Die Schwachstelle ist mit dem GingerBreak-Exploit-Tool und der Exploit.AndroidOS.Lotoor-Malware verbunden. Mit einem EPSS-Score von 34,4 % (97. Perzentil) bleibt die Ausnutzung signifikant.
Welche Produkte sind von CVE-2011-1823 betroffen?
CVE-2011-1823 betrifft das Android-Betriebssystem, hauptsächlich die Versionen 2.x (Gingerbread) und 3.x (Honeycomb). Die Schwachstelle befindet sich im vold-Volume-Manager-Daemon, einer Kernsystemkomponente, die auf allen Android-Geräten mit diesen Versionen vorhanden ist.
Wie behebe ich CVE-2011-1823?
Aktualisieren Sie das Android-Gerät auf eine Version, die den Fix für die vold-Daemon-Schwachstelle enthält, idealerweise Android 4.0 oder höher. Für Geräte, die keine Updates mehr erhalten können, empfiehlt die CISA den Austausch gegen neuere, unterstützte Hardware. Setzen Sie MDM-Lösungen ein, um gerootete Geräte zu erkennen.
Wie schwerwiegend ist CVE-2011-1823?
CVE-2011-1823 ist eine kritische Privilege-Escalation-Schwachstelle, die Root-Zugriff auf Android-Geräte gewährt. Der EPSS-Score von 34,4 % (97. Perzentil) spiegelt eine hohe Ausnutzungswahrscheinlichkeit wider. Root-Zugriff umgeht alle Sicherheitsgrenzen auf dem Gerät und ermöglicht vollständigen Datendiebstahl, persistente Malware-Installation und totale Gerätekompromittierung.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.