Auch wenn die Nexus-Geräte mittlerweile aktualisiert und das Problem behoben sein sollte, klafft noch immer in vielen Millionen Smartphones die Stagefright-Lücke, mit der ein Angreifer potenziell die Kontrolle über das gesamte System übernehmen könnte. Jetzt hat der ursprüngliche Entdecker der Lücke, die Sicherheitsforscher von Zimperium, einen funktionierenden Exploit für Android 4.04 veröffentlicht. Damit liegt die grundlegende Funktionalität nun offen, und es sind in Zukunft tatsächliche Angriffe über die Lücke zu befürchten.
Seit zwei Monaten schwebt das Damokles-Schwert Stagefright-Lücke über Hunderten Millionen Android-Nutzern und potenziell sind/waren praktisch alle Smartphones mit einer halbwegs aktuellen Betriebssystem-Version angreifbar. Diese ermöglicht es, durch ein manipuliertes Video die volle Kontrolle über das System zu übernehmen. Da der Android Mediaserver ein per MMS oder einer anderen Quelle eingehendes Video direkt öffnet, wird der Code auch ohne zutun des Nutzers, und auch ohne dass dieser es bemerkt, ausgeführt und das System infiltriert. Google hat mittlerweile mehrere Nexus-Updates ausgeliefert und auch Samsung & Co. wollen die Lücke zeitnah stopfen, doch bisher ist nicht viel geschehen.
Zimperium hat die Lücke bereits im April diesen Jahres entdeckt und an Google gemeldet, das diese Informationen wiederum an die Smartphone-Hersteller weiter gegeben hat. Dennoch hat es knapp drei Monate gedauert bis die Lücke offiziell verkündet worden und die Nutzerschaft darüber informiert worden ist. Ursprünglich wollte Zimperium bereits am 5. August einen tieferen Einblick in diese Lücke geben, hat diesen Termin aber mehrmals verschoben. Am Mittwoch wurde nun ein funktionierender Exploit veröffentlicht, so dass die Gefahr eines tatsächlichen Angriffs nun gewachsen ist.
Der jetzt veröffentlichte Exploit wurde auf Android 4.0.4 mit einem nicht näher benannten Nexus-Gerät getestet, konnte dort allerdings auch erst nach mehreren Versuchen tatsächlich die Kontrolle über das System übernehmen. Dieser besteht aus einem Python-Skript, das ein modifiziertes MP4-Video erstellt, mit dem sich das Smartphone angreifen lassen soll. Auf welchen Wegen man dieses Video auf die Test-Smartphones gebracht hat und warum mehrere Versuche für den Angriff nötig waren, wird nicht genauer erläutert. Für andere Geräte müssen laut Zimperium minimale Anpassungen vorgenommen werden, doch grundsätzlich steht der Code nun offen.
Nutzer die mindestens Android 5.0 auf ihrem Gerät einsetzen, und das sind mittlerweile immerhin mehr als 20 Prozent, sollen etwas sicherer vor der Lücke sein, da das Betriebssystem einen besseren Schutz gegen Integer-Overflows hat. Dennoch sind die Smartphones potenziell angreifbar und die Lücke klafft auch in diesen Systemen. Es ist natürlich nicht auszuschließen dass es weitere Versionen dieser Lücke gibt, da in den vergangenen Wochen immer weitere Abwandlungen aufgetaucht sind, so dass es bisher noch keine vollständige Sicherheit gibt.
Wer testen möchte, ob das eigene Smartphone für den bekannten Exploit anfällig ist oder nicht, kann dies mit den beiden Stagefright Detektor-Apps tun – eine davon stammt direkt vom Entdecker Zimperium und soll die zuverlässigsten Ergebnisse liefern.
[heise]