Er is een zeer ernstig lek in Android gevonden, waardoor het mogelijk is een smartphone met malware te injecteren. Het lek zit in de video-player, en hoewel Google al een patch heeft uitgebracht zijn bijna een miljard toestellen nog kwetsbaar.
Het lek is door beveiligingsonderzoekers aan het licht gebracht. Op dit moment zijn er nog maar weinig details over de bug bekend, maar de onderzoekers willen die volgende week bekend maken tijdens de Black Hat-securityconferentie.
Video-framework
De bug zit in het video-framework van Android. Dat zit niet alleen in de videospeler zelf, maar ook in bijvoorbeeld applicaties als Google Hangouts. Ook zouden webbrowsers stukken code kunnen inladen via bijvoorbeeld video-advertenties.
Update
Het probleem van de exploit is dat er niet veel aan te doen is. Google heeft inmiddels een patch beschikbaar gesteld, maar die moet door fabrikanten worden uitgerold. Dat kan nog enkele dagen tot zelfs weken duren, en veel oudere toestellen krijgen helemaal geen updates meer van Google. Nexus-toestellen (van Google zelf) zijn al wel voorzien van de update.
Openbaring
Volgens de onderzoekers is het overgrote merendeel van de Android-toestellen kwetsbaar. De bug bestaat namelijk al in Android sinds versie 2.2. Het is frappant dat de beveiligingsonderzoekers er alsnog voor kiezen de exploit bekend te maken. Normaal worden bedrijven eerst gewaarschuwd, zodat zij een patch kunnen uitbrengen. In dit geval is dat ook gebeurd, maar dat weerhoudt de onderzoekers er niet van het lek toch openbaar te maken. Dat is hen op veel kritiek komen te staan.