CVE-2023-20963
Android Framework Privilege Escalation Vulnerability
Beschreibung
CVE-2023-20963 ist eine Schwachstelle zur lokalen Rechteausweitung im Android-Framework, die die WorkSource-Komponente betrifft. Die Sicherheitslücke basiert auf einem sogenannten Parcel Mismatch, bei dem Daten zwischen Prozessen fehlerhaft deserialisiert werden. Ein Angreifer mit niedrigen Berechtigungen kann diese Schwachstelle ausnutzen, um ohne Benutzerinteraktion erhöhte Systemprivilegien auf dem Gerät zu erlangen. CVE-2023-20963 betrifft Android-Versionen 11, 12, 12L und 13 und wurde von der CISA in den KEV-Katalog aufgenommen, da eine aktive Ausnutzung in freier Wildbahn bestätigt wurde.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| android | 11.0; 12.0; 12.1; 13.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://source.android.com/security/bulletin/2023-03-01(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-20963(Third Party Advisory, US Government Resource)
Schwachstellentyp
CWE-295: Improper Certificate Validation
Die offiziell zugewiesene Schwachstellenklassifikation CWE-295 bezieht sich auf eine fehlerhafte Zertifikatsvalidierung. Im Kontext von CVE-2023-20963 manifestiert sich die eigentliche Schwachstelle jedoch primär als Parcel-Deserialisierungsfehler in der WorkSource-Komponente des Android-Frameworks, der zu einer Rechteausweitung führt.
Mehr erfahren: CWE-295 — Improper Certificate Validation
Auswirkungsanalyse
CVE-2023-20963 erreicht einen CVSS-Score von 7.8 (High) und ermöglicht eine schwerwiegende lokale Rechteausweitung. Angriffsvektor (Lokal): Die Schwachstelle erfordert lokalen Zugriff auf das betroffene Gerät, beispielsweise durch eine bereits installierte bösartige App. Angriffskomplexität (Niedrig): Die Ausnutzung erfordert keine besonderen Bedingungen und ist technisch vergleichsweise einfach durchführbar. Erforderliche Berechtigungen (Niedrig): Ein Angreifer benötigt lediglich grundlegende Berechtigungen einer normalen App, um die Schwachstelle auszunutzen. Benutzerinteraktion (Keine): Die Ausnutzung erfolgt ohne jegliches Zutun des Nutzers. Vertraulichkeit, Integrität und Verfügbarkeit (jeweils Hoch): Bei erfolgreicher Ausnutzung kann der Angreifer vollständigen Zugriff auf Benutzerdaten erlangen, Systemdateien manipulieren und die Verfügbarkeit des Geräts beeinträchtigen. Dies ist besonders kritisch, da Android-Geräte häufig sensible persönliche und geschäftliche Daten enthalten.
Exploit-Reifegrad
CVE-2023-20963 wird von der CISA als aktiv ausgenutzte Schwachstelle geführt und wurde am 13. April 2023 in den KEV-Katalog (Known Exploited Vulnerabilities) aufgenommen, mit einer Behebungsfrist bis zum 4. Mai 2023. Die Schwachstelle wurde in gezielten Angriffen beobachtet, bei denen bösartige Apps den Parcel-Mismatch-Fehler in der WorkSource-Komponente ausnutzten, um sich erhöhte Berechtigungen zu verschaffen. Der EPSS-Score von 2,16 % (84. Perzentil) deutet auf eine moderate, aber reale Ausnutzungswahrscheinlichkeit hin. Ob die Schwachstelle in Verbindung mit Ransomware-Kampagnen eingesetzt wurde, ist derzeit nicht bekannt.
Behebung
- Android-Sicherheitsupdate einspielen: Das Sicherheitsbulletin vom März 2023 (2023-03-01) von Google behebt CVE-2023-20963. Aktualisieren Sie alle betroffenen Android-Geräte (Android 11, 12, 12L und 13) auf den Patch-Level vom 1. März 2023 oder neuer.
- Geräte-Management überprüfen: Stellen Sie über Ihre MDM-Lösung (Mobile Device Management) sicher, dass alle verwalteten Geräte das Sicherheitsupdate erhalten haben und auf dem aktuellen Patch-Stand sind.
- App-Installationen einschränken: Beschränken Sie die Installation von Apps aus unbekannten Quellen (Sideloading) und setzen Sie auf geprüfte App-Stores. Prüfen Sie bestehende Installationen auf verdächtige Apps, die den Exploit ausnutzen könnten.
- Monitoring und Erkennung: Überwachen Sie Geräteprotokolle auf ungewöhnliche Rechteausweitungen oder verdächtige Prozessaktivitäten. Setzen Sie Endpoint-Detection-Lösungen ein, die Anomalien auf mobilen Geräten erkennen.
- Nicht aktualisierbare Geräte isolieren: Geräte, die keine Sicherheitsupdates mehr erhalten, sollten gemäß der CISA-Empfehlung aus dem Betrieb genommen oder von sensiblen Netzwerken und Daten isoliert werden.
Technische Details
Die Schwachstelle CVE-2023-20963 befindet sich in der WorkSource-Klasse des Android-Frameworks und beruht auf einem Parcel-Mismatch-Fehler. In Android werden Daten zwischen Prozessen über das Parcel-Serialisierungssystem übertragen. Technischer Mechanismus: Wenn die WorkSource-Komponente Daten serialisiert und deserialisiert, entsteht eine Diskrepanz zwischen der geschriebenen und der gelesenen Datenmenge. Ein Angreifer kann diesen Mismatch gezielt ausnutzen, indem er ein manipuliertes Parcel-Objekt erstellt, das nach der Deserialisierung zu einer fehlerhaften Typinterpretation führt. Exploit-Pfad: Durch diese fehlerhafte Deserialisierung kann der Angreifer Objektreferenzen überschreiben und so eine Rechteausweitung von einer normalen App-Berechtigung auf Systemprivilegien erreichen. Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H bestätigt, dass die Ausnutzung lokal bei niedriger Komplexität und ohne Benutzerinteraktion erfolgt, wobei alle drei Schutzziele vollständig kompromittiert werden.
Häufig gestellte Fragen
Wird CVE-2023-20963 aktiv ausgenutzt?
Ja, die CISA hat CVE-2023-20963 in den Katalog der bekannten ausgenutzten Schwachstellen (KEV) aufgenommen, was eine aktive Ausnutzung in freier Wildbahn bestätigt. Die Behebungsfrist wurde auf den 4. Mai 2023 festgelegt. Ob die Schwachstelle in Ransomware-Kampagnen eingesetzt wird, ist derzeit nicht bekannt.
Welche Produkte sind von CVE-2023-20963 betroffen?
CVE-2023-20963 betrifft das Android-Framework in den Versionen Android 11, Android 12, Android 12L und Android 13. Alle Geräte, die diese Android-Versionen nutzen und den Sicherheitspatch vom März 2023 noch nicht installiert haben, sind potenziell verwundbar.
Wie behebe ich CVE-2023-20963?
Installieren Sie das Android-Sicherheitsupdate vom 1. März 2023 oder neuer auf allen betroffenen Geräten. Wenn Updates nicht verfügbar sind, beschränken Sie App-Installationen aus unbekannten Quellen und überwachen Sie die Geräte auf verdächtige Aktivitäten. Details finden Sie im Abschnitt Behebung.
Wie schwerwiegend ist CVE-2023-20963?
Mit einem CVSS-Score von 7.8 (High) ist CVE-2023-20963 eine schwerwiegende Schwachstelle. Sie ermöglicht eine lokale Rechteausweitung ohne Benutzerinteraktion, wobei Vertraulichkeit, Integrität und Verfügbarkeit vollständig kompromittiert werden können. Der EPSS-Score von 2,16 % (84. Perzentil) zeigt eine moderate Ausnutzungswahrscheinlichkeit.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.