Kritische Sicherheitslücken bedrohen fast alle Android-Smartphones Kritische Sicherheitslücken bedrohen fast alle Android-Smartphones - Computerwelt

Computerwelt: Aktuelle IT-News Österreich


28.07.2015 Thomas Cloer*

Kritische Sicherheitslücken bedrohen fast alle Android-Smartphones

In einer Komponente von Android existieren mindestens ein halbes Dutzend Sicherheitslücken, die fast eine Milliarden Smartphones gefährden könnten.

Stagefright-Lücken-Logo von Zimperium

Stagefright-Lücken-Logo von Zimperium

© Zimperium

Konkret geht es um die Mediensoftware "Stagefright". Diese lässt sich über eine bösartig manipulierte Multimedia-Nachricht (MMS oder Hangouts) angreifen, teilweise sogar vom Nutzer unbemerkt. Die Sicherheitsfirma Zimperium Zlabs hatte die Bugs bereits im April und Mai an Google gemeldet, berichtet "Forbes". Obwohl Google bereits entsprechend Patches an seine Hardware-Partner verteilt habe, seien diese bislang kaum an Endkunden ausgerollt worden, heißt es weiter.

Joshua Drake von Zimperium schätzt, dass bis zu 950 Millionen Android-Smartphones durch die Stagefright-Lücken bedroht sein könnten. Dabei kommt es entscheidend darauf an, mit welchen Rechten der Stagefright-Prozess ausgeführt wird - auf einigen älteren Geräten wie dem "Galaxy S4" von Samsung oder dem "Optimus Elite" von LG sind das (für den Experten Drake, Mitverfasser des "Android Hacker's Handbook", vollkommen unverständlich) volle Systemrechte.

Google weist darauf hin, dass Smartphones mit neueren Android-Versionen allerlei Schutzmechanismen mitbringen, die sie weniger leicht angreifbar machen. Außerdem schütze die Application Sandbox Nutzerdaten und andere Anwendungen auf dem Geräte. Drake warnt ausdrücklich, dass vor allem die geschätzt 100 Millionen Telefone mit Android älter als 4.1 ("Jelly Bean") über keine hinreichenden Schutzmechanismen verfügen.

Grundsätzlich sind wohl alle Android-Versionen von 2.2 bis 5.1 verwundbar. Sieben der von Zimperium gemeldeten Lücken wurde eine CVE-Nummer zugeteilt. Drake will auf den Sicherheitskonferenzen Black Hat und Defcon in Las Vegas kommende Woche weitere Details dazu veröffentlichen.

Für die Endanwender bleibt nur die Hoffnung, dass ihre Gerätehersteller die von Google bereitgestellten Patches nun so schnell wie möglich verteilen. Bereit getan hat dies Silent Circle für sein "Blackphone". Auch Mozilla, das im Android-Firefox Stagefright für das Abspielen von Videos benutzt, hat mit Version 38 gepatcht. Google will die hauseigenen "Nexus"-Geräte ab der kommenden Woche absichern und nach dem "Full Disclosure" zur Black Hat die Korrekturen auch ins quelloffene Android (AOSP) stellen. Apropos: Das auf AOSP basierende Custom-ROM CyanogenMod hat die Fixes schon drin.

* Thomas Cloer ist verantwortlich für die Nachrichten auf computerwoche.de.

Diesen Artikel

Bewertung:

Übermittlung Ihrer Stimme...
Noch nicht bewertet. Seien Sie der Erste, der diesen Artikel bewertet!
Klicken Sie auf den Bewertungsbalken, um diesen Artikel zu bewerten.
  Sponsored Links:

IT-News täglich per Newsletter

E-Mail:
Weitere CW-Newsletter

CW Premium Zugang

Whitepaper und Printausgabe lesen.  

kostenlos registrieren

Aktuelle Praxisreports

(c) FotoliaHunderte Berichte über IKT Projekte aus Österreich. Suchen Sie nach Unternehmen oder Lösungen.

Zum Thema

  • customer care solutions - Call Center Betriebs GmbH

    customer care solutions - Call Center Betriebs GmbH B2C Dienste und Lösungen, B2B Dienste und Lösungen, User Helpdesk-Systeme und Hotlines, Systempflege- und Wartung, Outsourcing, IKT-Consulting, Facility Management,... mehr
  • ITSDONE GRUPPE

    ITSDONE GRUPPE Office Software, Kaufmännische Software (ERP), Datenbanken, Server-Betriebssysteme, Programmiersprachen, Betriebssysteme für PCs, Netzwerk- und Systemüberwachung,... mehr
  • SEQIS GmbH

    SEQIS GmbH Qualitätssicherung, Expertensysteme, Tools, Security Audits, E-Commerce-Software, B2B Dienste und Lösungen, Übernahme von Softwareprojekten,... mehr
  • Snap Consulting - Systemnahe Anwendungsprogrammierung u Beratung GmbH

    Snap Consulting - Systemnahe Anwendungsprogrammierung u Beratung GmbH Wasser- und Energieversorgung, Öffentliche Verwaltung, Medizin und Gesundheitswesen, Maschinen- und Anlagenbau, Luft- und Raumfahrttechnik, Logistik, Konsumgüterindustrie,... mehr

Hosted by:    Security Monitoring by: