Schwachstellen in "Stagefright"

Kritische Sicherheitslücken bedrohen fast alle Android-Smartphones

28. Juli 2015
Thomas Cloer war viele Jahre lang verantwortlich für die Nachrichten auf computerwoche.de.
Er sorgt außerdem ziemlich rund um die Uhr bei Twitter dafür, dass niemand Weltbewegendes verpasst, treibt sich auch sonst im Social Web herum (auch wieder bei Facebook) und bloggt auf teezeh.de. Apple-affin, bei Smartphones polymorph-pervers.
In einer Komponente von Android existieren ein gutes halbes Dutzend Sicherheitslücken, die fast eine Milliarde Smartphones gefährden könnten.

Konkret geht es um die Mediensoftware "Stagefright". Diese lässt sich über eine bösartig manipulierte Multimedia-Nachricht (MMS oder Hangouts) angreifen, teilweise sogar vom Nutzer unbemerkt. Die Sicherheitsfirma Zimperium Zlabs hatte die Bugs bereits im April und Mai an Google gemeldet, berichtet "Forbes". Obwohl Google bereits entsprechend Patches an seine Hardware-Partner verteilt habe, seien diese bislang kaum an Endkunden ausgerollt worden, heißt es weiter.

Stagefright-Lücken-Logo von Zimperium
Stagefright-Lücken-Logo von Zimperium
Foto: Zimperium

Joshua Drake von Zimperium schätzt, dass bis zu 950 Millionen Android-Smartphones durch die Stagefright-Lücken bedroht sein könnten. Dabei kommt es entscheidend darauf an, mit welchen Rechten der Stagefright-Prozess ausgeführt wird - auf einigen älteren Geräten wie dem "Galaxy S4" von Samsung oder dem "Optimus Elite" von LG sind das (für den Experten Drake, Mitverfasser des "AndroidAndroid Hacker's Handbook", vollkommen unverständlich) volle Systemrechte. Alles zu Android auf CIO.de

Google weist darauf hin, dass Smartphones mit neueren Android-Versionen allerlei SchutzmechanismenSchutzmechanismen mitbringen, die sie weniger leicht angreifbar machen. Außerdem schütze die Application Sandbox Nutzerdaten und andere Anwendungen auf dem Geräte. Drake warnt ausdrücklich, dass vor allem die geschätzt 100 Millionen Telefone mit Android älter als 4.1 ("Jelly Bean") über keine hinreichenden Schutzmechanismen verfügen. Alles zu Security auf CIO.de

Grundsätzlich sind wohl alle Android-Versionen von 2.2 bis 5.1 verwundbar. Sieben der von Zimperium gemeldeten Lücken wurde eine CVE-Nummer zugeteilt. Drake will auf den Sicherheitskonferenz Black Hat und Defcon in Las Vegas kommende Woche weitere Details dazu veröffentlichen.

Für die Endanwender bleibt nur die Hoffnung, dass ihre Gerätehersteller die von Google bereitgestellten Patches nun so schnell wie möglich verteilen. Bereit getan hat dies Silent Circle für sein "Blackphone". Auch Mozilla, das im Android-Firefox Stagefright für das Abspielen von Videos benutzt, hat mit Version 38 gepatcht. Google will die hauseigenen "Nexus"-Geräte ab der kommenden Woche absichern und nach dem "Full Disclosure" zur Black Hat die Korrekturen auch ins quelloffene Android (AOSP) stellen. Apropos: Das auf AOSP basierende Custom-ROM CyanogenMod hat die Fixes schon drin.

Links zum Artikel

Themen: Android und Security

Kommentare zum Artikel

comments powered by Disqus
Zur Startseite