-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512


   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : Kwetsbaarheden verholpen in Google Android en Samsung Mobile
Advisory ID     : NCSC-2025-0072
Versie          : 1.00
Kans            : medium
CVE ID          : CVE-2023-21125, CVE-2024-43051, CVE-2024-43093,
                  CVE-2024-46852, CVE-2024-49728, CVE-2024-49836,
                  CVE-2024-49838, CVE-2024-50302, CVE-2024-53011,
                  CVE-2024-53014, CVE-2024-53024, CVE-2024-53025,
                  CVE-2024-53027, CVE-2025-0074, CVE-2025-0075,
                  CVE-2025-0079, CVE-2025-0081, CVE-2025-0082,
                  CVE-2025-0084, CVE-2025-0092, CVE-2025-0093,
                  CVE-2025-20644, CVE-2025-20645, CVE-2025-20903,
                  CVE-2025-20908, CVE-2025-20909, CVE-2025-20910,
                  CVE-2025-20911, CVE-2025-20912, CVE-2025-22403,
                  CVE-2025-22404, CVE-2025-22405, CVE-2025-22406,
                  CVE-2025-22407, CVE-2025-22408, CVE-2025-22409,
                  CVE-2025-22410, CVE-2025-22411, CVE-2025-22412,
                  CVE-2025-22413, CVE-2025-26417
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : high
                  Off-by-one Error
                  Exposure of Sensitive Information to an Unauthorized
                  Actor
                  Out-of-bounds Write
                  Buffer Copy without Checking Size of Input ('Classic
                  Buffer Overflow')
                  Improper Initialization
                  Use of Uninitialized Resource
                  Integer Overflow or Wraparound
                  Improper Validation of Array Index
                  CWE-264
                  Improper Validation of Syntactic Correctness of Input
                  Buffer Over-read
                  Improper Authorization
                  NULL Pointer Dereference
Uitgiftedatum   : 20250304
Toepassing      : Android System
                  Samsung Mobile Devices
Versie(s)       :
Platform(s)     :

Beschrijving
   Google heeft meerdere kwetsbaarheden verholpen in Android en Samsung
   Mobile, waaronder twee zero-day kwetsbaarheden die actief werden
   uitgebuit in gerichte aanvallen.

   De kwetsbaarheden bevinden zich in de Android-kernel en de
   ExternalStorageProvider.java, wat kan leiden tot lokale privilege-
   escalatie en remote code-executie. Daarnaast kunnen verschillende
   kwetsbaarheden remote aanvallers in staat stellen om denial-of-
   service te veroorzaken of gevoelige gegevens te benaderen. De
   kwetsbaarheden treffen verschillende versies van Android en Samsung-
   producten, wat onmiddellijke aandacht van beveiligingsbeheerders
   vereist.
   Google meldt informatie te hebben ontvangen dat de kwetsbaarheden met
   kenmerk CVE-2024-43093 en CVE-2024-50302 beperkt en gericht zijn
   misbruikt. Deze kwetsbaarheden bevinden zich respectievelijk in het
   Android Framework en in de Kernel en stellen een kwaadwillende in
   staat zich verhoogde rechten toe te kennen en toegang te krijgen tot
   gevoelige gegevens. Voor zover bekend moet voor succesvol misbruik de
   kwaadwillende het slachtoffer misleiden een malafide app te
   installeren.

Mogelijke oplossingen
   Google heeft fixes geïmplementeerd om deze risico's te mitigeren,
   terwijl Samsung soortgelijke problemen in zijn apparaten heeft
   aangepakt. Zie bijgevoegde referenties voor meer informatie.

   Referenties:
      Reference - ncscclear
      https://source.android.com/docs/security/bulletin/2025-03-01

      Reference - ncscclear
      https://security.samsungmobile.com/securityUpdate.smsb?year=2025&m
      onth=03

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----

iQGzBAEBCgAdFiEEj9lz1UkzuNhtLOX5ytTOqyR+cF8FAmfG0scACgkQytTOqyR+
cF/PuwwAi23hVldIfJSVNt9DNCrO7Cs8NKJjTf2HHYP9Khed17/E2SpTLT/Rh5DL
v7igFdrZBNbDqc9FCrIhIAQQjI0jsxZa0UYM5kyKnlOeT668ZiCY/f6hiepAAwan
3gBytDcasn0Q+nOHS80vpXt1t+fyrgUDnLYMxJ0hj162YZxabdgYPrn6w9FHqN8R
5SulqtUI7K03qPtWaIhcQb3Bmvzi1OLuP5kGgEoI2rgm7v0W+OB+4g+DhRkOn2gF
9mvpynXTBVUsCUc5ULyNPdTcgot7p9oKYSmacEqZW0Q/mfGWh0XYdEDIPs3uyzZb
aYm+5y3y0Xi8h3ufiYrLe7rzsGZXsCUS79WPZHd9unSwxe6AenRkgsxYdJfXxYWY
CFi51+EcZpsgd6WbxqushRq4RtR6854ftYyOb2gjldOmZrIBy5nJa4ZTjZAO/v2/
WPMYhkpcy1Mz7ZFyiWnT3Io4+vdsRduyWiOKeljcYQ38D827zGk/TRGhqQSz0But
bY/niv56
=k4Yu
-----END PGP SIGNATURE-----