En rekke nettaviser, både teknologiorienterte og andre, har de siste to dagene kommende med fryktskapende advarsler om fire alvorlige sårbarheter som berører svært mange Android-baserte smartmobiler og nettbrett, angivelig rundt 900 millioner enheter. Det er kun enheter med brikkesett fra Qualcomm som er berørt, siden disse sårbarhetene finnes i drivere og andre programvarekomponenter som er levert av Qualcomm direkte til de enkelte mobil- og nettbreddprodusentene.
De fire sårbarhetene ble oppdaget av sikkerhetsselskapet Check Point for ganske lenge siden. Qualcomm skal ha blitt varslet om dem i april. Men oppdagelsen ble først presentert under DefCon-konferansen den 7. august, der de fire sårbarhetene ble kalt for QuadRooter.
Mer av det samme
Som mange andre har gjort før, har Check Point her forsøkt å trekke til seg hele oppmerksomheten ved å blant annet å tilby rapporten til pressen noen dager i forveien, men med sperrefrist. Det er strengt tatt ikke noe galt ved dette, bortsett fra at journalistene som har latt seg lokke, i stor grad har gjengitt noe som egentlig bare handler om «mer av det samme», samtidig som at de bare har fortalt om en liten del av det store bildet.
_logo.svg.png){kind=logo}
Mange lesere kan derfor har ha fått inntrykk av at det har dreid seg om noe helt nytt.
Men dessverre er QuadRooter-sårbarhetene langt fra enestående.
Bare i augustoppdateringen fra Google til Nexus-enhetene, som har blitt rullet ut de siste dagene, har det blitt fjernet mer enn 50 Qualcomm-spesifikke sårbarheter med høy eller kritisk alvorlighetsgrad, inkludert én av dem som Check Point har funnet. To av de andre QuadRooter-sårbarhetene skal ha blitt fjernet tidligere, mens Ashmem-sårbarheten CVE-2016-5340 av ukjente årsaker gjenstår.
Dette bekreftes av Check Point-appen QuadRooter Scanner når den kjøres på helt oppdaterte Nexus-enheter.
- Bedre enn de fleste, men: Fortsatt langt fra skadevarefritt i Google Play
Ikke noe nytt
Digi.no valgte i utgangspunktet å la være å skrive om QuadRooter-sårbarhetene fordi de i så liten grad skilte seg ut fra mengden. Vi har tidligere skrevet gjentatte ganger om at svært mange Android-enheter ikke blir oppdatert, heller ikke med disse sikkerhetsoppdateringene som i utgangspunktet er langt viktigere enn oppdateringer til nyere Android-versjoner. De fire QuadRooter-sårbarhetene som nå har blitt kjent, endrer i praksis ingenting. Og det er ingenting nytt som de berørte brukerne selv kan gjøre.
Selv om enhver skulle ønske at i alle fall sikkerhetsoppdateringene ble gjort tilgjengelige for alle Android-enheter under en visse alder, så er ikke situasjonen helt bekmørk. I alle fall ikke på grunn av sårbarhetene.
Det er nemlig svært langt mellom rapportene om at Android-sårbarheter faktisk blir utnyttet. Blant annet det at plattformen er så fragmentert, har vist seg å gjøre det vanskelig å lage skadevare som fungerer på tvers av ulike modeller.
Det meste av skadevare som finnes, avhenger ikke av sårbarheter, selv om de kan gjøre betydelig skade. I stedet er skadevaren i stor grad basert på at brukerne lar seg lokke til å gi skadevaren tilgang til det meste. Det er sannsynligvis langt enklere enn å utnytte sårbarhetene.
Det er betydelige sikkerhetsutfordringer knyttet til Android-plattformen, og det kan være nyttig med jevnlige påminnelser i pressen om dette.
Men da bør påminnelsene fortelle om mer enn bare det som går fram av de salgsfremmende rapportene til de store sikkerhetsselskapene.
Leste du denne? Skal granske oppdateringspraksisen til Android-leverandører
