CVE-2021-0920
Android Kernel Race Condition Vulnerability
Beschreibung
CVE-2021-0920 ist eine Use-after-free-Schwachstelle im Android-Kernel, die durch eine Wettlaufbedingung im Garbage-Collection-Mechanismus für Unix-Domain-Sockets verursacht wird. Die Wettlaufbedingung ermöglicht einen Use-after-free-Zustand, der für eine lokale Rechteausweitung ausgenutzt werden kann und einem Angreifer Kernel-Zugang auf betroffenen Android-Geräten gewährt. Für die Ausnutzung ist keine Benutzerinteraktion erforderlich. CISA hat CVE-2021-0920 in den KEV-Katalog aufgenommen, und das EPSS-Perzentil von 75,6 % weist auf eine signifikante Ausnutzungswahrscheinlichkeit hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| linux | linux kernel | <= 5.13; 5.14 |
| android | - | |
| debian | debian linux | 9.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://lists.debian.org/debian-lts-announce/2021/12/msg00012.html(Mailing List, Third Party Advisory)
- https://source.android.com/security/bulletin/2021-11-01(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-0920(Third Party Advisory, US Government Resource)
Schwachstellentyp
CWE-362: Gleichzeitige Ausführung mit gemeinsamer Ressource ohne ordnungsgemäße Synchronisation (Wettlaufbedingung)
CWE-362 beschreibt eine Schwachstelle, bei der ein Produkt Code enthält, der gleichzeitig ausgeführt werden kann, aber den Zugriff auf gemeinsame Ressourcen nicht ordnungsgemäß synchronisiert. Bei CVE-2021-0920 enthält der Garbage-Collection-Mechanismus für Unix-Domain-Sockets im Android-Kernel eine Wettlaufbedingung, die bei Auslösung zu einem Use-after-free-Zustand führt, der für eine Rechteausweitung ausgenutzt werden kann.
Weitere Informationen: CWE-362 — Concurrent Execution Using Shared Resource with Improper Synchronization ('Race Condition')
Auswirkungsanalyse
CVE-2021-0920 ermöglicht eine lokale Rechteausweitung auf Kernel-Ebene auf Android-Geräten durch eine Wettlaufbedingung im Unix-Socket-Garbage-Collector. Die Schwachstelle erfordert lokale Code-Ausführung, aber keine Benutzerinteraktion, sodass eine bösartige Anwendung sie geräuschlos ausnutzen kann. Eine erfolgreiche Ausnutzung gewährt dem Angreifer die vollständige Kontrolle über das Gerät auf Kernel-Ebene und umgeht alle Android-Anwendungs-Sandbox-Beschränkungen und Sicherheitskontrollen. Das EPSS-Perzentil von 75,6 % deutet auf eine signifikante reale Ausnutzungswahrscheinlichkeit hin. CISA hat die aktive Ausnutzung bestätigt und CVE-2021-0920 in den KEV-Katalog aufgenommen. Die Schwachstelle betrifft das Unix-Socket-Subsystem des Linux-Kernels, was bedeutet, dass sie potenziell nicht nur Android-Geräte, sondern auch andere Linux-basierte Systeme mit betroffenen Kernel-Versionen betrifft.
Exploit-Reifegrad
CISA hat die aktive Ausnutzung von CVE-2021-0920 bestätigt und die Schwachstelle mit einer Behebungsfrist bis zum 13. Juni 2022 in den KEV-Katalog aufgenommen. Das EPSS-Perzentil von 75,6 % deutet auf eine signifikante Ausnutzungswahrscheinlichkeit hin. Google offenbarte im Android-Sicherheitsbulletin vom November 2021, dass diese Schwachstelle möglicherweise einer begrenzten, gezielten Ausnutzung unterlag. Die Schwachstelle wurde dem Einsatz in ausgefeilten, gezielten Angriffen gegen bestimmte Einzelpersonen zugeschrieben, konsistent mit den Mustern kommerzieller Spyware-Operationen. Die Wettlaufbedingungs-Natur der Schwachstelle macht die Ausnutzung komplexer als eine einfache Speicherkorruption, aber die nachgewiesene reale Ausnutzung bestätigt, dass zuverlässige Exploit-Techniken entwickelt wurden.
Behebung
- Wenden Sie Android-Sicherheitsupdates gemäß den Anweisungen des Geräteherstellers und Google an. Das Android-Sicherheitspatchlevel vom November 2021 behebt CVE-2021-0920.
- Stellen Sie sicher, dass automatische Sicherheitsupdates auf allen Android-Geräten aktiviert sind, um Kernel-Patches zeitnah zu erhalten.
- Für Linux-Server und -Arbeitsplatzrechner wenden Sie Kernel-Updates Ihrer Distribution an, die die Unix-Domain-Socket-Wettlaufbedingung beheben.
- Beschränken Sie die Installation von Anwendungen auf verifizierte Quellen (Google Play Store) und aktivieren Sie Google Play Protect für automatisches Malware-Scanning.
- Setzen Sie Mobile-Device-Management-Lösungen (MDM) ein, um die Update-Compliance durchzusetzen und auf Indikatoren für Kernel-Ausnutzung wie unerwartete Rechteausweitung oder Jailbreak-Artefakte zu überwachen.
Technische Details
CVE-2021-0920 ist eine Wettlaufbedingungs-Schwachstelle im Garbage-Collection-Mechanismus für Unix-Domain-Sockets des Linux-Kernels. Der Garbage Collector ist für die Bereinigung von über Unix-Sockets übergebenen Dateideskriptoren verantwortlich, enthält aber einen Synchronisationsfehler, der unter CWE-362 klassifiziert wird. Wenn mehrere Threads gleichzeitig mit Unix-Domain-Sockets interagieren, besteht ein Zeitfenster, in dem der Garbage Collector den zugehörigen Speicher eines Dateideskriptors freigeben kann, während ein anderer Thread noch eine Referenz darauf hält, was einen Use-after-free-Zustand erzeugt. Ein Angreifer mit lokaler Code-Ausführung kann diese Wettlaufbedingung wiederholt auslösen, bis der freigegebene Speicher mit angreiferkontrollierten Daten neu zugewiesen wird, was Kernel-Speicherkorruption und letztlich Rechteausweitung ermöglicht. Der Angriff erfordert keine Benutzerinteraktion, sobald eine bösartige Anwendung läuft.
Häufig gestellte Fragen
Wird CVE-2021-0920 aktiv ausgenutzt?
Ja, CVE-2021-0920 wurde in gezielten Angriffen aktiv ausgenutzt. CISA hat die aktive Ausnutzung bestätigt und die Schwachstelle in den KEV-Katalog aufgenommen. Google stellte im Sicherheitsbulletin vom November 2021 eine potenzielle begrenzte, gezielte Ausnutzung fest. Das EPSS-Perzentil von 75,6 % belegt eine signifikante Ausnutzungswahrscheinlichkeit.
Welche Produkte sind von CVE-2021-0920 betroffen?
CVE-2021-0920 betrifft den Android-Kernel und potenziell andere Linux-basierte Systeme, die den betroffenen Unix-Domain-Socket-Garbage-Collection-Code verwenden. Die Schwachstelle wird im Android-Sicherheitspatchlevel vom November 2021 behoben.
Wie behebe ich CVE-2021-0920?
Wenden Sie den Android-Sicherheitspatch vom November 2021 oder neuer an. Für andere Linux-Systeme wenden Sie Kernel-Updates Ihrer Distribution an. Aktivieren Sie automatische Updates und verwenden Sie nur vertrauenswürdige Anwendungsquellen. Details finden Sie im Abschnitt Behebung.
Wie schwerwiegend ist CVE-2021-0920?
CVE-2021-0920 ist eine Kernel-Wettlaufbedingung, die zu Use-after-free führt, mit einem EPSS-Perzentil von 75,6 %. Sie ermöglicht lokale Rechteausweitung auf Kernel-Ebene ohne Benutzerinteraktion. Obwohl die Ausnutzung aufgrund der Wettlaufbedingung komplexer ist, bestätigt der nachgewiesene reale Einsatz in gezielten Angriffen die Schwere für die mobile und Linux-Sicherheit.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.