Vier neue Sicherheitslücken in Android entdeckt: Bis zu 900 Millionen Nutzer betroffen

 

Es ist jetzt ziemlich genau ein Jahr her, dass die Stagefright-Lücke in Android entdeckt wurde, von der fast 1 Milliarde Geräte betroffen waren bzw. sind. Zwar sind diese Lücken im Android-Mediaserver mittlerweile gestopft, das bedeutet aber längst nicht dass keine Smartphones und Tablets mehr betroffen sind. Eine israelische Sicherheitsfirma hat nun gleich vier neue Sicherheitslücken in den Tiefen von Android gefunden, mit denen Angreifer die Kontrolle über das gesamte System übernehmen können.

Der Stagefright-Bug hat Google und die Smartphone-Hersteller damals kalt erwischt und war eine große Bedrohung für das gesamte Android-Ökosystem. Das Problem war dabei nicht die Lücke selbst, sondern die Tatsache dass so erstmals für die breite Masse aufgezeigt wurde, wie sehr der Android-Markt fragmentiert ist und wie schwer es ist, alle Smartphones zu aktualisieren. Für die Hersteller war – und ist – es praktisch unmöglich Updates für alle alten Smartphones auszuliefern. Und diese Tatsache kommt nun auch bei den jetzt entdeckten Lücken wieder zum Tragen.

Die Sicherheitsforscher des israelischen Unternehmens Check Point haben bei Routine-Untersuchungen angeblich gleich vier schwere Sicherheitslücken in Android entdeckt, die potenziell wieder die gesamte Nutzerschaft betreffen. Dabei besteht nur Eine der Vier Lücken direkt im Betriebssystem selbst, und zwar bei der Speicherzuweisung. Zwei Lücken befinden sich direkt in der Software zur Grafikverarbeitung der Qualcomm-Chips und eine weitere soll sich in der Kommunikation zwischen den einzelnen Komponenten der Hardware befinden.

Laut den Forschern können diese Lücken bis zu 900 Millionen Geräte betreffen, da Qualcomm mit Abstand der Marktführer ist und die meisten Chips für Android-Smartphones ausliefert. Der Hersteller wurde bereits im April dieses Jahres über die Lücke informiert und hat diese auch schon gestopft und die entsprechenden Updates an die Hersteller verteilt. Ob und wann diese aber auch auf die Smartphones der Nutzer ausgerollt werden ist wie immer der Flaschenhals – und gerade „ältere Geräte“ (Ab 1,5 Jahre) bleiben meist Offen wie ein Scheunentor.

Google hat sich bisher noch nicht zu den neuen Lücken geäußert, Qualcomm hat diese aber als „Hoch Riskant“ eingestuft und hat daher ohne großen Zeitverlust Patches zur Verfügung gestellt. Da diese Software so tief im System liegt und nur indirekt etwas mit Android zu tun hat, kann diese nur durch ein Firmware-Update behoben werden. Laut dem Hersteller ist die Lücke aber dennoch in allen derzeitigen Flaggschiffen von Samsung, LG und auch den Nexus-Smartphones enthalten.

Bisher soll die Lücke noch nicht ausgenutzt worden sein, und die genauen Schwachstellen wurde auch noch nicht veröffentlicht, aber laut Check Point kann eine einfache App ohne große Berechtigungen diese Lücken ausnutzen und sich dadurch Root-Rechte und den vollen Zugriff auf das System erschleichen. Bleibt abzuwarten ob und wann sich auch Google zu dem Thema zu Wort meldet. Zumindest die Lücken im Mediaserver sollen mit der kommenden Version der Vergangenheit angehören.

[Spiegel Online]

---

---