Kritische Sicherheitslücken bedrohen fast alle Android-Smartphones

In einer Komponente von Android existieren mindestens ein halbes Dutzend Sicherheitslücken, die fast eine Milliarden Smartphones gefährden könnten. [...]

Stagefright-Lücken-Logo von Zimperium (c) Zimperium
Stagefright-Lücken-Logo von Zimperium

Konkret geht es um die Mediensoftware „Stagefright“. Diese lässt sich über eine bösartig manipulierte Multimedia-Nachricht (MMS oder Hangouts) angreifen, teilweise sogar vom Nutzer unbemerkt. Die Sicherheitsfirma Zimperium Zlabs hatte die Bugs bereits im April und Mai an Google gemeldet, berichtet „Forbes“. Obwohl Google bereits entsprechend Patches an seine Hardware-Partner verteilt habe, seien diese bislang kaum an Endkunden ausgerollt worden, heißt es weiter.

Joshua Drake von Zimperium schätzt, dass bis zu 950 Millionen Android-Smartphones durch die Stagefright-Lücken bedroht sein könnten. Dabei kommt es entscheidend darauf an, mit welchen Rechten der Stagefright-Prozess ausgeführt wird – auf einigen älteren Geräten wie dem „Galaxy S4“ von Samsung oder dem „Optimus Elite“ von LG sind das (für den Experten Drake, Mitverfasser des „Android Hacker’s Handbook“, vollkommen unverständlich) volle Systemrechte.

Google weist darauf hin, dass Smartphones mit neueren Android-Versionen allerlei Schutzmechanismen mitbringen, die sie weniger leicht angreifbar machen. Außerdem schütze die Application Sandbox Nutzerdaten und andere Anwendungen auf dem Geräte. Drake warnt ausdrücklich, dass vor allem die geschätzt 100 Millionen Telefone mit Android älter als 4.1 („Jelly Bean“) über keine hinreichenden Schutzmechanismen verfügen.

Grundsätzlich sind wohl alle Android-Versionen von 2.2 bis 5.1 verwundbar. Sieben der von Zimperium gemeldeten Lücken wurde eine CVE-Nummer zugeteilt. Drake will auf den Sicherheitskonferenzen Black Hat und Defcon in Las Vegas kommende Woche weitere Details dazu veröffentlichen.

Für die Endanwender bleibt nur die Hoffnung, dass ihre Gerätehersteller die von Google bereitgestellten Patches nun so schnell wie möglich verteilen. Bereit getan hat dies Silent Circle für sein „Blackphone“. Auch Mozilla, das im Android-Firefox Stagefright für das Abspielen von Videos benutzt, hat mit Version 38 gepatcht. Google will die hauseigenen „Nexus“-Geräte ab der kommenden Woche absichern und nach dem „Full Disclosure“ zur Black Hat die Korrekturen auch ins quelloffene Android (AOSP) stellen. Apropos: Das auf AOSP basierende Custom-ROM CyanogenMod hat die Fixes schon drin.

* Thomas Cloer ist verantwortlich für die Nachrichten auf computerwoche.de.


Mehr Artikel

News

Arrow mit NetApp EMEA 2020 Partner Excellence Award ausgezeichnet

Arrow Electronics wurde mit dem NetApp Partner Excellence Award als „Distributor des Jahres“ ausgezeichnet. Zum ersten Mal fand das Programm rein virtuell statt. Mit den Partner Excellence Awards werden jedes Jahr Partner geehrt, die sich durch herausragende Performance auszeichnen und nicht zuletzt durch ihre Innovationsfähigkeit und Servicequalität einen entscheidenden Beitrag zum NetApp Unified Partner Programm in EMEA leisten. […]

Be the first to comment

Leave a Reply

Your email address will not be published.


*