CVE-2023-35674
Android Framework Privilege Escalation Vulnerability
Beschreibung
CVE-2023-35674 ist eine Schwachstelle im Android Framework (WindowState.java), die eine lokale Rechteausweitung (Privilege Escalation) ermöglicht. Durch einen Logikfehler in der onCreate-Methode kann eine Hintergrundaktivität gestartet werden, was zur Ausweitung von Berechtigungen ohne zusätzliche Ausführungsprivilegien führt. Eine Benutzerinteraktion ist für die Ausnutzung nicht erforderlich. Die CISA hat CVE-2023-35674 in den KEV-Katalog aufgenommen und bestätigt die aktive Ausnutzung in freier Wildbahn. Mit einem CVSS-Score von 7.8 (Hoch) stellt diese Schwachstelle ein erhebliches Risiko für Android-Geräte dar.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| android | 11.0; 12.0; 12.1; 13.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Referenzen
- https://android.googlesource.com/platform/frameworks/base/+/7428962d3b064ce1122809d87af65099d1129c9e(Patch)
- https://source.android.com/security/bulletin/2023-09-01(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-35674(Third Party Advisory, US Government Resource)
Schwachstellentyp
CWE-269: Improper Privilege Management
Bei CWE-269 handelt es sich um eine Schwachstelle, bei der eine Anwendung Berechtigungen nicht korrekt verwaltet, was zu einer unautorisierten Rechteausweitung führen kann. Im Fall des Android Frameworks ermöglicht ein Logikfehler in WindowState.java das Starten einer Hintergrundaktivität, wodurch eine Anwendung Privilegien erlangen kann, die ihr nicht zustehen.
Mehr erfahren: CWE-269 — Improper Privilege Management
Auswirkungsanalyse
CVE-2023-35674 hat mit einem CVSS-Score von 7.8 (Hoch, CVSS v3.1) eine hohe Gefährdungsstufe. Angriffsvektor (Lokal): Die Schwachstelle erfordert lokalen Zugriff auf das Android-Gerät, beispielsweise durch eine bereits installierte bösartige App. Ein direkter Angriff über das Netzwerk ist nicht möglich. Angriffskomplexität (Niedrig): Die Ausnutzung erfordert keine besonderen Bedingungen und ist unkompliziert. Geringe Privilegien erforderlich: Der Angreifer benötigt lediglich niedrige Ausführungsberechtigungen, wie sie jede installierte App besitzt. Keine Benutzerinteraktion erforderlich: Der Angriff kann ohne jegliches Zutun des Gerätenutzers erfolgen, was die Schwachstelle besonders gefährlich macht. Vertraulichkeit, Integrität und Verfügbarkeit (jeweils Hoch): Bei erfolgreicher Ausnutzung kann die bösartige Anwendung erweiterte Systemprivilegien erlangen, auf geschützte Daten zugreifen, Systemeinstellungen manipulieren und andere Sicherheitsmechanismen umgehen.
Exploit-Reifegrad
Die CISA hat CVE-2023-35674 in den KEV-Katalog aufgenommen und damit die aktive Ausnutzung dieser Privilege-Escalation-Schwachstelle im Android Framework in freier Wildbahn bestätigt. In den verfügbaren Referenzen sind keine öffentlichen Exploit-Codes oder Proof-of-Concepts verzeichnet, was darauf hindeutet, dass die Ausnutzung derzeit in gezielten Angriffen erfolgt. Der EPSS-Score von 0,09 % (25,0. Perzentil) deutet auf eine vergleichsweise geringe breit angelegte Ausnutzungswahrscheinlichkeit hin, was mit dem lokalen Angriffsvektor und der Notwendigkeit einer bereits installierten bösartigen App konsistent ist.
Behebung
- Android-Sicherheitsupdate vom September 2023 installieren: Gemäß dem Android Security Bulletin September 2023 enthält das Sicherheitsupdate den Patch für CVE-2023-35674. Alle Android-Geräte sollten auf die Sicherheitspatchebene 2023-09-01 oder neuer aktualisiert werden.
- Automatische Systemupdates aktivieren: Sicherstellen, dass automatische Systemupdates auf allen Android-Geräten aktiviert sind, um zukünftige Sicherheitspatches zeitnah zu erhalten. Die aktuelle Sicherheitspatchebene kann unter Einstellungen > Über das Telefon > Android-Sicherheitsupdate geprüft werden.
- App-Installationen einschränken: Nur Apps aus dem Google Play Store installieren und die Option zur Installation aus unbekannten Quellen deaktivieren. Google Play Protect aktiviert lassen, um potenziell schädliche Apps zu erkennen.
- Mobile Device Management (MDM) einsetzen: In Unternehmensumgebungen ein MDM-System verwenden, um die Sicherheitspatchebene aller Geräte zu überwachen und Compliance-Richtlinien durchzusetzen. Geräte mit veralteten Sicherheitspatches vom Unternehmensnetzwerk ausschließen.
- Langfristige Absicherung: Geräte, die keine Sicherheitsupdates mehr erhalten (End of Life), durch aktuelle Modelle ersetzen. Besonders in Unternehmensumgebungen eine Mindestanforderung an die Sicherheitspatchebene durchsetzen.
Technische Details
CVE-2023-35674 betrifft einen Logikfehler in der Klasse WindowState.java im Android Framework. Schwachstellenmechanismus: In der onCreate-Methode von WindowState.java existiert ein Logikfehler, der es ermöglicht, eine Hintergrundaktivität zu starten, obwohl dies durch die Android-Sicherheitsmechanismen eigentlich unterbunden werden sollte. Seit Android 10 gelten Einschränkungen für das Starten von Activities aus dem Hintergrund (Background Activity Launch Restrictions), die durch diese Schwachstelle umgangen werden können. Angriffsvektor: Gemäß dem CVSS-Vektor (CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) erfordert der Angriff lokalen Zugriff mit niedrigen Privilegien, wie sie jede installierte Android-App besitzt. Der Logikfehler ermöglicht einer bösartigen App, eine Activity mit erhöhten Berechtigungen im Vordergrund zu starten und so die normale Berechtigungsprüfung zu umgehen. Privilege Escalation (CWE-269): Durch die fehlerhafte Berechtigungsverwaltung kann die Anwendung Privilegien erlangen, die über ihre normalen Berechtigungen hinausgehen, was zur vollständigen Kompromittierung des Geräts führen kann. Der Patch behebt den Logikfehler in WindowState.java.
Häufig gestellte Fragen
Wird CVE-2023-35674 aktiv ausgenutzt?
Ja, CVE-2023-35674 wird aktiv ausgenutzt. Die CISA hat diese Privilege-Escalation-Schwachstelle im Android Framework in den KEV-Katalog aufgenommen und die aktive Ausnutzung in freier Wildbahn bestätigt. Der EPSS-Score von 0,09 % deutet darauf hin, dass die Ausnutzung eher in gezielten Angriffen als in breit angelegten Kampagnen erfolgt.
Welche Produkte sind von CVE-2023-35674 betroffen?
Betroffen ist Google Android, konkret das Android Framework (WindowState.java). Die Schwachstelle wurde im Android Security Bulletin vom September 2023 adressiert. Alle Android-Geräte mit einer Sicherheitspatchebene vor 2023-09-01 sind potenziell anfällig.
Wie behebe ich CVE-2023-35674?
Die wichtigste Maßnahme ist die Installation des Android-Sicherheitsupdates vom September 2023 (Sicherheitspatchebene 2023-09-01 oder neuer). Automatische Systemupdates sollten aktiviert und nur Apps aus dem Google Play Store installiert werden. Geräte, die keine Sicherheitsupdates mehr erhalten, sollten ersetzt werden. Weitere Details finden Sie im Abschnitt Behebung.
Wie schwerwiegend ist CVE-2023-35674?
CVE-2023-35674 ist mit einem CVSS-Score von 7.8 als hoch eingestuft (CVSS v3.1). Die Schwachstelle ermöglicht eine lokale Rechteausweitung ohne Benutzerinteraktion, was bedeutet, dass eine bösartige App stillschweigend erweiterte Privilegien erlangen kann. Aufgrund der bestätigten aktiven Ausnutzung ist ein zeitnahes Update dringend empfohlen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.