Google schließt Android Zero-Days - eine schon staatlich missbraucht

Google hat mit einem neuen Sicherheits-Update für seine Android-Plattform zwei Zero-Day-Lücken geschlossen. Insgesamt werden mit der Aktualisierung sogar 62 Schwachstellen beseitigt. Angesichts aktiver Ausnutzung sollten die Patches schnell installiert werden.

Fund durch Amnesty International

Eine der beiden Zero Days wurde offenbar von serbischen Behörden in Zusammenarbeit mit dem israelischen Unternehmen Cellebrite genutzt, um beschlagnahmte Smartphones zu entsperren. Hierbei kamen laut Analysen des Amnesty International Security Labs auch weitere Schwachstellen zum Einsatz, die man in einer Exploit-Kette zusammenführte. Die Entdeckung gelang, als Amnesty verdächtige Protokolle auf entsperrten Geräten untersuchte.

Google erklärte gegenüber dem IT-Portal BleepingComputer, man habe bereits frühzeitig von diesen Zero Day-Schwachstellen gewusst und entsprechende Sicherheitsupdates entwickelt. Diese seien den Geräteherstellern bereits am 18. Januar 2025 im Rahmen einer Partner-Benachrichtigung zur Verfügung gestellt worden. Offiziell spricht man erst jetzt darüber.


Die zweite im April geschlossene Zero-Day-Lücke (CVE-2024-53150) betrifft eine Informationsoffenlegung im Android-Kernel. Durch einen sogenannten Out-of-Bounds Read konnten Angreifer sensible Daten auf betroffenen Geräten auslesen - ohne Zutun der Nutzer.

Verteilung startet

Neben den beiden besonders kritischen Lücken wurden im April-Update auch 60 weitere Sicherheitsprobleme behoben, die überwiegend als schwerwiegende Rechteausweitungen eingestuft sind. Google veröffentlichte zwei Patch-Stufen (2025-04-01 und 2025-04-05), wobei letztere zusätzliche Korrekturen für Komponenten von Drittanbietern enthält, die nicht auf allen Geräten relevant sind. Während Pixel-Geräte die Updates umgehend erhalten, verzögert sich die Verteilung bei anderen Herstellern oft durch zusätzliche Tests und Anpassungen.

Bereits im November 2024 hatte Google eine weitere Zero-Day-Schwachstelle (CVE-2024-43047) geschlossen, die laut Google Project Zero von serbischen Behörden im Rahmen von Spionageangriffen gegen Journalisten und Aktivisten ausgenutzt wurde. Siehe auch: