SHIFTphone 8 - ShiftOS 6.8 G
- Ersteller amartinz
- Erstellt am
- SHIFTphone 8 ShiftOS-G Update
Das Verhalten hatte ich heute das erste Mal. Gerät (und Akku) sind knapp 1 Jahr alt.
Moin,
Heise hat das hier als News.
„SMS des Todes“: Sicherheitslücke lässt Android-Smartphones abstürzen
www.heise.de
Kann man mit einem baldigen Fix rechnen?
Vielen Dank
Liebe Grüße
juck.
Heise hat das hier als News.
„SMS des Todes“: Sicherheitslücke lässt Android-Smartphones abstürzen
„SMS des Todes“: Sicherheitslücke lässt Android-Smartphones abstürzen
Eine unsichtbare SMS lässt Android-Smartphones abstürzen, unterbricht Anrufe und hält Geräte in einer Reboot-Schleife gefangen. Google hat bereits reagiert.
Kann man mit einem baldigen Fix rechnen?
Vielen Dank
Liebe Grüße
juck.
Theoretisch könnte der Fix bereits in 6.8 G enthalten sein ,aber das kann nur Shift (@amartinz) beantworten ob sie den Fix schon aufgenommen hatten.
Zuletzt bearbeitet:
Hi, da Neukalibrieren wem anders geholfen hat: 1-2 vollständig entladen und vollständig aufladen könnte helfen, dass die Prozente wieder korrekt angezeigt werden
Das hatte ich mir auch schon überlegt. Ich bin mir aber nicht sicher. Daher nur die Frage.
Im Artikel soll die Sicherheitslücke mit den Google Sicherheitsupdates von Juli behoben sein, aktuelles Sicherheitslevel is Oktober, daher sollte das ja passen, oder?Moin,
Heise hat das hier als News.
„SMS des Todes“: Sicherheitslücke lässt Android-Smartphones abstürzen
„SMS des Todes“: Sicherheitslücke lässt Android-Smartphones abstürzen
Eine unsichtbare SMS lässt Android-Smartphones abstürzen, unterbricht Anrufe und hält Geräte in einer Reboot-Schleife gefangen. Google hat bereits reagiert.
Kann man mit einem baldigen Fix rechnen?
Vielen Dank
Liebe Grüße
juck.
| Android Version | 14 |
| Build Nummer | SOS.6.8.20260914 release-keys |
| Build Fingerprint | SHIFT/otter/otter:14/SOS.6.8.20260914/20260914:user/release-keys |
| Security Patch Level | 2026-10-05 |
Der Fix ist scheinbar seit Ende September im AOSP Tree bereitgestellt ,Aber er wurde im Oktober Bulletin nicht mit aufgeführt und musste im Oktober Patch noch vom Hersteller manuell eingefügt werden.
Erst im dem November Patch soll er dann automatisch dabei sein.
Ein Teil davon steht auch so im Artikel
"Schließlich habe Google einen Sicherheitspatch im Oktober für Android 14 bis 17 bereitgestellt, jedoch nicht im Oktober-Bulletin veröffentlicht. Aufgeführt werden soll die Lücke im kommenden November-Bulletin, eingestuft als kritisch. Derweil dürften noch zahlreiche Geräte angreifbar sein, da Sicherheitspatches in der Regel von den jeweiligen Geräteherstellern verteilt werden"
ABER: dazu finden sich die Unterschiedlichsten Angaben und Zeiträume im Netz .
Ebenso könnte sein ,dass der Fix bereits ausgeliefert wurde ,aber der Eintrag in der CVE Auflistung im Oktober Bulletin ,wegen der fehlerhaften "Will Not Fix“ Einstufung , einfach fehlte.
Deshalb hätte ich auch gern eine kurze Info dazu von Shift selbst
Zuletzt bearbeitet:
So wie ich den Artikel lese, ist das die Aussage von GrapheneOS bzgl. ihres eigenen Systems und bzgl. der Google Sicherheitsvorschau (vom Juli).
Die weiteren Veröffentlichungen in Googles offenbar diversen Wegen reichen zeitlich von August bis November. Ich lese da auch nicht sicher heraus, dass uns das Fix über das ShiftOS-Update vom Juli schon erreicht hätte.
Und eine weitere Frage noch dazu - gilt diese Lücke auch unter ShiftOS-L? (Das ist ja auch Android, aber ohne Google-Fix?) (Ich weiß, falscher Thread, aber hier ist das Thema ja jetzt schon und möglicherweise relevant.)
Ja das betrifft auch ShiftOS- L und die Custom Roms ,weil die Lücke im AOSP Code liegt und nicht in der Hersteller Software.
Vielen Dank!! Wie tragisch.
Dann bleibt meine Frage (an Shift) auch hier, ob bzw. wann ein Fix dafür käme.
Haben den damaligen Vorschau-Patch inkludiert, sind aber auch gerade daran ein OTA mit SPL 2026-12 zu zertifizieren, welches im Laufe des Monats ausgeliefert werden sollte.Vielen Dank!! Wie tragisch.
Dann bleibt meine Frage (an Shift) auch hier, ob bzw. wann ein Fix dafür käme.
Falls ich mich richtig erinnere, können solche Nachrichten aber auch schon vom Provider herausgefiltert werden, sodass sie garnicht erst bei den Endgeräten ankommen.
Klar gibt es dann Variationen, die einen Filter vielleicht umgehen können.
Ich vertraue aber nicht auf mein Halbwissen und wir geben uns Mühe so schnell wie möglich das OTA rauszubekommen.
Wir passen den Release-Prozess deswegen an.
6.9 hätte ein größeres Update werden sollen, wir machen jetzt aber ein kleineres daraus, damit die Zertifizierung schneller durchgeht.
Klar gibt es dann Variationen, die einen Filter vielleicht umgehen können.
Ich vertraue aber nicht auf mein Halbwissen und wir geben uns Mühe so schnell wie möglich das OTA rauszubekommen.
Wir passen den Release-Prozess deswegen an.
6.9 hätte ein größeres Update werden sollen, wir machen jetzt aber ein kleineres daraus, damit die Zertifizierung schneller durchgeht.
Heißt dann in 6.9 "nur" den Sicherheitspatch mit Rest Basis 6.8 für die schnelle Freigabe und danach dann das "richtige" 6.9?
Bzw. wie läuft das mit den Patches?
Ich meine mal gelesen zu haben, dass die Sicherheitspatche von Android über den Play Store kommen oder vertausche ich da gerade was?
Edit: Glaube den Post von Reddit habe ich gelesen:
Zuletzt bearbeitet:
So in der Art, jaHeißt dann in 6.9 "nur" den Sicherheitspatch mit Rest Basis 6.8 für die schnelle Freigabe und danach dann das "richtige" 6.9?
Bzw. wie läuft das mit den Patches?
Ich meine mal gelesen zu haben, dass die Sicherheitspatche von Android über den Play Store kommen oder vertausche ich da gerade was?
Edit: Glaube den Post von Reddit habe ich gelesen:
Bei der Entwicklung haben wir eine
sos-6.x Branch, dort findet die laufende Entwicklung statt.Jedesmal, wenn wir eine Version bereit machen, branchen wir von der weg, heißt es wird eine Branch
sos-6.8 erstellt.Wir haben in
sos-6.x weiter entwickelt, da wir aber ein kleines Update einbauen wollen, erstellen wir sos-6.9 auf dem Stand von sos-6.8 und "picken uns die Kirschen" (git cherry-pick) aus der sos-6.x Branch raus und wenden sie dort an.So geht keine Änderung für weitere Versionen verloren, wir können aber spezialisiert solche Sonderversionen erstellen.
Manche Systemdienste (Apps, Native Bibliotheken, etc) wurden in sogenannte APEX (Android Pony EXpress) gepackt.
Diese werden in AOSP ROMs dann einfach mit der ROM mitgebaut.
Für ROMs mit Google Apps werden die Versionen von Google dafür genommen.
Diese werden dann Mainline Module oder auch GPSU (Google Play System Updates) genannt.
APEX können im laufenden Betrieb aktualisiert werden (erfordern ggf. einen Neustart des Systems, damit die neuen Versionen aktiviert werden).
Hier ist eine Liste von standardmäßigen APEX:
- https://source.android.com/docs/core/ota/modular-system
Nicht alle müssen unbedingt ausgeliefert werden, z.B. Google hat lange Zeit keine Version für die WiFi-Variante angeboten und Herstellern war es selbst überlassen, ob sie das in ein APEX packen oder direkt im System platzieren.
Heißt also auf G können manche Module dann via Google Play aktualisiert werden.
Das passiert meist im Hintergrund, man kann aber auch eine UI dazu öffnen, indem man in den
Einstellungen -> Über das Telefon -> Android-Version -> Google Play-Systemupdate antippt.Für L bedeutet das aber auch, dass es eine neue OTA geben muss, weil dort halt nichts von Google aktualisiert wird.
Wir leiten aber ein paar Tasks in einem Gruppen-Projekt, wo die Unterstützung von aktualisierbaren APEX im Open Source Ekösystem verbessert werden soll.
Das läuft ca. in 2027 an und Informationen werden folgen, unterliegen aber zurzeit noch einem Embargo.
(Ich darf nur sagen, das wird ein toller Stack
)edit: Außerdem, in dem Kontext kann der Patch für die SMS-Schwachstelle nicht über GPSU ausgeliefert werden, weil die betroffenen Teile nicht in einem APEX stecken, sondern direkt im System. Heißt das geht nur mit neuem OTA.
Die CVE betreffend eMudhra aber können von GPSU gepatcht werden, weil Änderungen im "Conscrypt" Module liegen, sowie die jeweiligen Browser selbst meist auch Zertifikatsspeicher ausliefern und dort sehr schnell eMudhra auf eine Liste gegeben habe, sodass sie verweigert werden.
Zuletzt bearbeitet:
