Kein Android 15 kein Sicherheitspatch bis jetzt 30.01.25

[Puncher]

Es ist schade das Android 15 noch nicht auf unseren Smartphones zur Verfügung steht, zumindest die S24 reihe sollte es endlich haben, auch weil Android 16 schon im Juni erscheinen soll. Das S25 Ultra hat es doch zusammen mit dem One UI 7 bekommen, also wieso kann man es nicht gleichzeitig für den Rest ausrollen? Echt enttäuschend seitens Samsung. Bin immer treu geblieben und werde es vermutlich immer sein, denn so schlimm ist das ja nicht, nur verstehe ich das nicht. Smartphones wie Xiaomi und andere haben schon seit Dezember Android 15 und nicht nur die Handys vom Vorjahr sondern auch Modelle wie das 12er und mehrere Pads. Zumindest die Samsung S24er reihe hätte es eigentlich schon Anfang Januar bekommen müssen und das allerschlimmste für mich ist aber, dass bis jetzt nicht einmal das Sicherheitspatch von Januar zur Verfügung steht, was sehr schade ist, da nun auch bekannt geworden ist, dass es erhebliche Sicherheitslücken gibt und erhebliche bei Samsung. Zur Klarstellung, wir haben heute den 30.01.2025 und selbst wenn es zehn neue Releases gegeben hätte, dann wäre es keine Entschuldigung, gerade das Sicherheitspatch sollte direkt am Anfang des Monats kommen und erst recht bei großen Sicherheitslücken! Vor einem Jahr, bzw 1-3 Jahre waren wir auch Käufer - und nur wegen eines neuen Releases, sollte gerade nichts auf Kosten der Sicherheit weggelassen werden. Also gebt Gas:) 

Ich bitte um Verständnis 

Schreibt gerne eure Gedanken zu dem Thema auch wenn Ihr anderer Meinung seid.

Beste Grüße aus Berlin

[Ichael2]

schön wäre es mal, wenn ein echter Experte die Gerätesicherheit bei Android beurteilt und nicht irgendwelche Zeitungsartikelschreiber. Dort heißt es regelmäßig, ihr müsst euer Samsung-Smartphone dringendst updaten, es stünde eine Sicherheitsaktualisierung an. Bloß kommt dann selten tatsächlich ein update an. Noch weniger auf Tablets...

ich denke mir, vieles Wichtige läuft vielleicht über den playstore. Oder sehe ich das falsch?

[Nakatan]

Samsung hat ziemlich klar kommuniziert, ab wann frühstens mit dem Update zu rechnen ist.
Und wie weiter oben schon gesagt, passiert das oft, dass vor größeren Updates der vorherige Sicherheitspatch entweder später oder erst mit dem großen Update zusammen ausgeliefert wird. So war das häufig in den letzten Jahren und daher nix neues.

[matzethan]

Also auf meinem A55 kam heute endlich der Sicherheitspatch.

[newton3]

Ihr könnt das auf https://doc.samsungmobile.com/SM-S928B/<CSC>/doc.html (<CSC> natürlich geeignet einsetzen!) selbst nachvollziehen, folgende CSC haben das Januar 25 Update:

ACR,AFG,AFR,BKD,CAU,DKR,ECT,EGY,FWD,GLB,ILO,ILP,INS,KSA,LYS,MID,MM1,MWD,PKD,SER,SIN,SKZ,SLK,STH,THL,TUN,TUR,XFA,XFE,XFV,XME,XNZ,XSG,XSP

Wohl gemerkt. SM-928B, also nix amerikanische oder koreanische Geräte.

Davon haben BKD,CAU,GLB,INS,MM1,SER,SIN,SKZ,SLK,STH,THL,XME,XNZ,XSP die FW Version S928BXXS4AYA1 und die anderen haben S928BXXS4AYA2.

Es gibt wenn man die Update-Historie betrachtet eigentlich immer 2 Versionen, die sich um eins an der letzten Stelle unterscheiden, wobei EUX (was wahrscheinlich die meisten hier betrifft) normal die "niedrigere" (also hier  S928BXXS4AYA1 bekommt.

Alle CSC, die das Januar Update haben haben es am 23.01.2025 bekommen (lt. Veröffentlichungsdatum auf der o.g. Webseite).

Warum nun die o.g. CSC das Update haben, aber

BOG,EUX,EUY,EVR,MEO,MET,MOB,MOT,MSR,O2C,OPS,PLS,PRT,SFR,SIM,SWC,TEL,TOP,VAU,VIP,XSA

(unter denen die ich betrachtet habe) nicht kann man wohl so ohne weiteres nicht verstehen. Wenns liefe wie in normalen Monaten existieren doch die beiden üblichen Firmware-Versionen - warum rollt man die nicht aus?

Was haben die CSC, die das Update NICHT haben gemeinsam? Sind das die, wo die Beta verfügbar ist? Sonst Gemeinsamkeiten?

Wahrscheinlich gibts einen Grund dafür warum für diese CSC nicht ausgerollt wird -  und Samsung würde kein Zacken aus der Krone brechen ihn uns zu verraten.

(Nein, ich habe nicht die Information für die 55 CSC, die ich betrachtet habe manuell zusammengesucht, sondern aus den Webseiten für die einzelnen CSC per Scripting CSV Dateien der Update-Historie generiert, da kann man wunderbar drauf suchen und auswerten).

In der Historie der Updates war EUX IMMER am ersten Tag der Updates dabei, nur im Juni nicht, da wars einen Tag später. Den Vogel für Aktualität abgeschossen hat übrigens das April-Update. Das kam auf ersten Geräten schon am 26.03.24, also noch vor der Veröffentlichung durch google.

[Varusal]

Das kann ich dir beantworten.

Im offiziellen Android Security Bulletin sind 36 Sicherheitslücken gelistet welche mit dem Januar update gefixt wurden.
5 sind davon als "Kritisch" deklariert (RCE -> Remote Code Execution).

Das Google Play system update kann nur 2 Lücken schließen (CVE-2024-43765 & CVE-2024-43095).
Beide sind als "Hoch" eingestuft.
Die 5 kritischen Lücken sind noch offen und können nicht vom Google Play system update gepatched werden.

Nun zu den kritischen Sicherheitslücken:

CVSS ist ein Score der bis zu 10 (absolut kritisch) gewertet wird.

CVE-2024-43096: 8.8
CVE-2024-43770: 8.8
CVE-2024-43771: 8.8
CVE-2024-49747: 9.8
CVE-2024-49748: 9.8

Für alle kritischen Sicherheitslücken ist folgendes der Fall: "code execution with no additional execution privileges needed. User interaction is not needed for exploitation."
Also sehr angreifbar ohne dass ein Benutzer davon was mitbekommen würde.

Dann kommen noch die 13 "privately disclosed" Sicherheitslücken von OneUI dazu.
Laut Samsung jedoch keine kritischen Lücken.

Zudem ist es umso wichtiger ein System mit Sicherheitsupdates zu versorgen, wenn die Sicherheitslücken veröffentlicht worden.
Known exploits werden immer verwendet um out-dated endpoints zu knacken.

Es fehlen also 49 patches für Sicherheitslücken.

[Ichael2]

danke sehr für die Erklärungen. Konnte Einiges nachvollziehen.

Wenn nun meine drei Samsung Geräte auf der Android-Sicherheitspatch-Ebene 1. Dezember bzw. 1. November (tablet) stehen, heißt das konkret sie haben (öffentlich?) bekannte Sicherheitslücken, die ohne meine Interaktion eine Fernsteuerung und beliebigen Datentransfer erlauben. Der Hersteller hat die Schwachstellen zwar behoben, aber auf Grund der Gerätevielfalt erscheinen die Updates mit Verzögerungen bis zu 3 Monaten (bei tablets). Uhren wohl teils noch länger.

Ich schlussfolgere daraus auch, dass man Android-Geräte, außer von Google selber, lieber nicht benutzt, wenn einem das Thema wichtig ist. Kann ja beruflich unfreiwillig so sein.

[Von Moderator editiert: Fremdmarkennennung]

Ich kann die Tragweite dieser Politik noch nicht recht einordnen. Denke ich zu viel nach? Oder ist es wie mit einer Haustür, die kann aus Holz und mit Vorhängeschloss gesichert sein und solange niemand von den Goldbarren weiß, völlig ausreichend. 

[machtnix]

Ich habe das Januarupdate auch erst am 5.2.25 für das S24 bekommen.
Ist doch egal, ob es sich etwas verspätet, Hauptsache es ist ohne Fehler und funktioniert gut.

[machtnix]

Ebenfalls Grüsse aus Holzminden

[Komischerweise]

Eben, so sieht es aus 😄

[Puncher]

Ich habe es auch erst am 05.02.25 erhalten, aber noch keine Spur von Android 15