Die Mutter aller Android-Schwachstellen [UPDATE]

So hat der Sicherheitsforscher Joshua Drake die von ihm entdeckte Sicherheitslücke in der Android-Systemkomponente Stagefright bezeichnet. Experten sagen sogar, sie sei schlimmer als Heartbleed, denn sie betrifft rund 95 Prozent aller Geräte, auf denen Android läuft, also rund 950 Millionen Geräte, beginnend mit Android 2.2 „Froyo“ bis hin zu Android 5.1.1 „Lollipop“; als besonders anfällig gelten Versionen vor 4.1 „Jelly Bean“.

Die Multimedia-Schnittstelle Stagefright wird für das Abspielen und Streamen von Multimedia-Inhalten benötigt. Sie besitzt jedoch zu viele Rechte, sodass sich mithilfe entsprechend präparierter Multimedia-Nachrichten Schadcode auf dem Smartphone platzieren lässt, der das Gerät in eine Wanze oder gar einen Zombie verwandelt.

Das Fiese ist: Damit die Infektion gelingt, muss der Empfänger die Nachricht möglicherweise nicht einmal öffnen, denn der Schadcode wird ausgeführt, sobald die Nachricht vom System verarbeitet wird.

Auch wenn Google bereits damit begonnen hat, Patches auszuliefern, bleibt es aufgrund der zersplitterten Android-Infrastruktur eine bange Frage, ob und wann endlich ein Patch für das eigene Gerät zur Verfügung steht.

Weitere Informationen auf TechCrunch und im Zimperium-Blog.

Update am 08.08.2015: Selbsthilfe

Die Sicherheit des eigenen Gerätes kann erhöht werden, wenn

  • Hangouts in der Apps-Verwaltung komplett „stillgelegt“ wird

und wenn

  • der automatische Empfang von MMS-Nachrichten in der vorinstallierten SMS-App deaktiviert wird, da kompromittierte MMS-Nachrichten nicht einmal geöffnet werden müssen, um das Gerät zu infizieren!

Mithilfe der Stagefright Detector App kann überprüft werden, ob das eigene Gerät angreifbar ist (was zurzeit äußerst wahrscheinlich ist). Der Entdecker der Stagefright-Sicherheitslücke, Joshua Drake, ist Mitarbeiter der Firma Zimperium, die dieses Tool anbietet.

Update am 14.08.2015: Reaktionen der Gerätehersteller

Google hat bereits am 5. August Updates für die Nexus-Geräte 4, 5, 6, 7, 9, 10 und den Nexus Player veröffentlicht. Außerdem wurden monatliche Sicherheits-Updates für alle Nexus-Geräte angekündigt.

Motorola informiert auf einer Sonderseite und hat Updates für zahlreiche Modelle angekündigt bzw. bereits veröffentlicht.

Samsung hat als Konsequenz einen Android Security Update Process, eine Art regelmäßig stattfindenden „Security-Patchday“, angekündigt.

Gleichzeitig berichtet heise Security heute, dass Googles Patch für die Nexus-Geräte fehlerhaft sei und ein aktualisierter Patch erst mit dem Patchday im September ausgerollt werde.

Ein Gedanke zu „Die Mutter aller Android-Schwachstellen [UPDATE]“

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert

4 × eins =