In einer Komponente von Android existieren mindestens ein halbes Dutzend Sicherheitslücken, die fast eine Milliarden Smartphones gefährden könnten. [...]
Konkret geht es um die Mediensoftware „Stagefright“. Diese lässt sich über eine bösartig manipulierte Multimedia-Nachricht (MMS oder Hangouts) angreifen, teilweise sogar vom Nutzer unbemerkt. Die Sicherheitsfirma Zimperium Zlabs hatte die Bugs bereits im April und Mai an Google gemeldet, berichtet „Forbes“. Obwohl Google bereits entsprechend Patches an seine Hardware-Partner verteilt habe, seien diese bislang kaum an Endkunden ausgerollt worden, heißt es weiter.
Joshua Drake von Zimperium schätzt, dass bis zu 950 Millionen Android-Smartphones durch die Stagefright-Lücken bedroht sein könnten. Dabei kommt es entscheidend darauf an, mit welchen Rechten der Stagefright-Prozess ausgeführt wird – auf einigen älteren Geräten wie dem „Galaxy S4“ von Samsung oder dem „Optimus Elite“ von LG sind das (für den Experten Drake, Mitverfasser des „Android Hacker’s Handbook“, vollkommen unverständlich) volle Systemrechte.
Google weist darauf hin, dass Smartphones mit neueren Android-Versionen allerlei Schutzmechanismen mitbringen, die sie weniger leicht angreifbar machen. Außerdem schütze die Application Sandbox Nutzerdaten und andere Anwendungen auf dem Geräte. Drake warnt ausdrücklich, dass vor allem die geschätzt 100 Millionen Telefone mit Android älter als 4.1 („Jelly Bean“) über keine hinreichenden Schutzmechanismen verfügen.
Grundsätzlich sind wohl alle Android-Versionen von 2.2 bis 5.1 verwundbar. Sieben der von Zimperium gemeldeten Lücken wurde eine CVE-Nummer zugeteilt. Drake will auf den Sicherheitskonferenzen Black Hat und Defcon in Las Vegas kommende Woche weitere Details dazu veröffentlichen.
Für die Endanwender bleibt nur die Hoffnung, dass ihre Gerätehersteller die von Google bereitgestellten Patches nun so schnell wie möglich verteilen. Bereit getan hat dies Silent Circle für sein „Blackphone“. Auch Mozilla, das im Android-Firefox Stagefright für das Abspielen von Videos benutzt, hat mit Version 38 gepatcht. Google will die hauseigenen „Nexus“-Geräte ab der kommenden Woche absichern und nach dem „Full Disclosure“ zur Black Hat die Korrekturen auch ins quelloffene Android (AOSP) stellen. Apropos: Das auf AOSP basierende Custom-ROM CyanogenMod hat die Fixes schon drin.
* Thomas Cloer ist verantwortlich für die Nachrichten auf computerwoche.de.
Be the first to comment