95 Prozent aller Android-Smartphones sollen sich durch eine Reihe von Schwachstellen in der Multimedia-Schnittstelle Stagefright kapern lassen. Der Angreifer muss seinem Opfer in spe lediglich eine MMS- oder Hangouts-Nachricht, in der sich Exploit-Code befindet, schicken, wie der Sicherheitsforscher Joshua Drake von Zimperium zLabs gegenüber Forbes erklärt.

Das Opfer muss, damit der Exploit zündet, in einigen Fällen die Nachricht noch nicht mal öffnen, da der Code, sobald die Nachricht vom Android-System verarbeitet wird, ausgeführt wird. Der Code kann die Nachricht laut Drake im Anschluss löschen, wodurch das Opfer sie nie zu Gesicht bekommt.

Der Angriffscode kann, abhängig von den Rechten, mit denen der angegriffene Prozess ausgeführt wird, auf die entsprechenden Systembereiche zugreifen. Der Angreifer kann durch die Stagefright-Lücken standardmäßig etwa Videos und Audio-Mitschnitte aufzeichnen sowie auf die Bluetooth-Schnittstelle und die Mediengalerie zugreifen. Der Code kann aber über eine Rechteausweitungslücke auch versuchen, an weitere Rechte zu gelangen. Offenbar ist das allerdings bei einigen älteren Geräten wie dem Samsung Galaxy S4 gar nicht nötig, da laut Drake der betroffene Prozess bereits mit Systemrechten ausgeführt wird.

Angeblich sind fast alle Geräte, auf denen eine Android-Version von 2.2 bis einschließlich 5.1 läuft, betroffen. Es handelt sich um mindestens sieben Schwachstellen mit jeweils einer eigenen CVE-Nummer, die Drake im April und im Mai an Google gemeldet hat. Das Unternehmen bestätigte die Lücken und hat offenbar bereits damit begonnen, den Hardware-Herstelllern Patches bereitzustellen.

Allerdings steht in den Sternen, wie lange es dauert, bis diese bei den Nutzern ankommen: Traditionell lassen sich die Hersteller mit dem Bereitstellen von Firmware-Updates Zeit und ignorieren dabei häufig zusätzlich Geräte älteren Semesters. Gegen einige der Schwachstellen sollen zumindest das Blackphone und das Google-Referenzgerät Nexus 6 bereits gewappnet sein.

Drakes Vortrag auf der in Kürze stattfindenden Hackerkonferenz BlackHat dürfte den Druck auf die Hersteller erhöhen: Er hat Full Disclosure, also die totale Offenlegung der von ihm entdeckten Lücken, angekündigt. Drake nennt seinen Fund "die Mutter aller Android-Schwachstellen".

(mt, hannover)

(siehe auch heise-News-Ticker:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE