Logo von heise online

Suche
Abonnieren

Tägliche Top-News bei WhatsApp, Facebook Messenger, Telegram & Insta

preisvergleich_weiss

Recherche in 1.508.171 Produkten

Benjamin Kraft 239

Unplanmäßiger Android-Patch und noch einmal Stagefright

Die Stagefright-Sicherheitslücke macht Android nach wie vor zu schaffen.

Bild: dpa, Britta Pedersen/Archiv

Knapp drei Wochen nach dem planmäßigen März-Update schließt Google eine Sicherheitslücke in Android, mit der sich Angreifer Root-Rechte erschleichen können. Derweil wurde ein weiterer Stagefright-Exploit bekannt.

Als Ergänzung zum bereits Anfang März erschienenen Update stellt Google einen neuen Patch für sein mobiles Betriebssystem Android bereit. Er schließt eine Schwachstelle, die es einem Rooting-Tool erlaubte, sich Administrator-Rechte zu erschleichen und beliebigen Code auszuführen. Laut Android Security Advisory—2016-03-18 sind alle Android-Geräte betroffen, auf denen der Linux-Kernel bis einschließlich Version 3.14 läuft. Neuere Kernel ab Release 3.18 seien gegen diesen Angriff immun. Seit dem 16. März verteilt Google den Patch an seine Gerätepartner, spezielle Updates für Nexus-Geräte seien in Arbeit und sollen in den kommenden Tagen erscheinen.

Google verhindert die Installation solcher Rooting-Tools auf Android-Systemen auf zwei Wege: Sie werden vom Google Play Store blockiert, eine manuelle Installation soll die Sicherheitskomponente "Apps verifizieren" ausschließen, die ebenfalls aktualisiert wird. Sie funktioniert ähnlich wie ein einfacher Virenscanner: Die Signaturen installierter Apps werden an einen Google-Server geschickt und mit einer Liste bekanntermaßen schädlicher Programme abgeglichen.

Generell rät die Firma Kunden davon ab, Rooting-Tools zu installieren, und empfiehlt Nutzern, von den Geräteherstellern zur Verfügung gestellte Updates umgehend einzuspielen. Wie Sie den Kernel-Stand ihres Gerätes ermitteln und nach Updates suchen, beschreibt Google auf dieser Webseite.

Stagefright, die nächste


Beinahe zeitgleich hat die Sicherheitsfirma Northbit eine Metaphor genannte neue Methode beschrieben, eine Lücke in der Android-Multimedia-Bibliothek "Stagefright" auszunutzen. Betroffen sind nicht nur ältere Geräte, auf denen Android 2.0 bis 4.0 laufen, sondern auch die neueren Versionen 5.0 und 5.1. Letztere sollten laut Google besser vor Angriffen geschützt sein, weil sie ASLR (Address Space Layout Randomization, also Speicherverwürfelung) nutzen, um diese Art von Angriff zu erschweren.

Der "Metaphor" genannten Exploit hebelt ASLR jedoch aus. Er liefert mit Hilfe einer präparierten Webseite eine Videodatei an das Android-Gerät aus. Dies geschieht entweder durch XSS auf einer vermeintlich vertrauenswürdigen Seite, durch eine selbst erstellte Angriffsseite, innerhalb einer Werbeanzeige oder sogar in Form eines Drive-By, das beim Einbuchen in ein ungesichertes WLANs ein Pop-Up anzeigt. Das Video bringt die Stagefright-Komponente zum Absturz. Im Hintergrund wartet eine Javascript-Datei auf der Webseite auf deren Neustart, um dann Informationen über das Gerät zu sammeln. Konkret geht es darum zu ermitteln, in welchen Speicherbereich das Betriebssystem die Komponenten libicui8n.so und libc.so lädt.

Der Metaphor-Exploit von Northbit.

Im nächsten Schritt schickt der angreifende Server ein auf das spezielle Gerät zugeschnittenes Video. Das muss der Nutzer nicht einmal abspielen ­­­– allein das Parsing der Datei durch den Android-Mediaserver genügt bereits für einen erfolgreichen Angriff. Northbit schätzt, dass allein etwa 235.000.000 Geräte Android 5.0 und 5.1 nutzen und für diesen Angriff anfällig sind. Hinzu kämen noch Millionen weiterer Modelle, auf denen älteren Android-Ausgaben laufen – doch in denen klafften noch weit mehr Sicherheitslücken, wie die Sicherheitsexperten trocken anmerken. (bkr)

239 Kommentare

Themen:

Anzeige
  1. Patchday: Google verarztet Android und stopft 102 Sicherheitslücken

    Patchday: Google verarztet Android und stopft 102 Sicherheitslücken

    Mit dem aktuellen Patchpaket für seine Nexus- und Pixel-Geräte schließt Google unter anderem mehr als ein Dutzend als kritisch eingestufte Schwachstellen. Besitzer von Geräten anderer Hersteller müssen wie gewohnt warten.

  2. Android-Patchday: Google kriegt den Media Player einfach nicht abgesichert

    Android-Patchday: Google kriegt den Media Player einfach nicht abgesichert

    Google stopft mehr als ein Dutzend als kritisch eingestufte Sicherheitslücken. Updates stehen für verschiedene Nexus- und Pixel-Geräte bereit.

  3. Patchday: Google sichert Android von KitKat bis Nougat ab

    Patchday: Google sichert Android von Ice Cream Sandwich bis Nougat ab

    Neuen Android-Versionen für Googles Nexus- und Pixel-Serie beinhalten Sicherheitsupdates für zum Teil kritische Schwachstellen.

  4. Patchday: Fehlerbereinigte Android-Versionen für Nexus, Pixel & Co. veröffentlicht

    Patchday: Fehlerbereinigte Android-Versionen für Nexus, Pixel & Co. veröffentlicht

    Google hat mehrere Sicherheitslücken in Android gestopft – darunter auch kritische. Wer ein Google-Gerät besitzt, sollte es zügig aktualisieren. Auch Besitzer von Geräten anderer Hersteller sollten prüfen, ob es eine Aktualisierung gibt.

  1. Android Oreo: Features, Download und Smartphone-Unterstützung

    Android O: Features, Download und Smartphone-Unterstützung

    Android 8 heißt Android Oreo und ist bereits für einige Smartphones verfügbar. Viele Funktionen und die überarbeiteten Menüs kann man deshalb schon ausprobieren – ein Blick auf die Neuerungen.

  2. Android Nougat: Funktionen, Veröffentlichung, Preview-Versionen

    Android Nougat: Funktionen, Veröffentlichung, Preview-Versionen

    Die nächste Android-Version heißt Android Nougat und kommt im Herbst 2016. Welche Funktionen Google in Android ändert, kann man zum großen Teil jetzt schon sehen: dank der Developer-Preview-Versionen von Android N.

  3. Die Neuerungen von Linux 4.5

    Die Neuerungen von Linux 4.5

    Einige aktuelle Radeon-Grafikkarten können mit dem neuen Linux-Kernel deutlich mehr 3D-Performance liefern. Die neue Version unterstützt den Raspberry Pi besser und schützt vor Hardware-Defekten durch unbedachte Löschbefehle. Eine ganze Latte neuer und weiterentwickelter Treiber verbessert die Hardware-Unterstützung.

  1. Mac: Apple veröffentlicht neuen Safari-Browser und neue Entwicklungsumgebung Xcode 9

    Mac: Apple veröffentlicht neuen Safari-Browser und neue Entwicklungsumgebung Xcode 9

    Safari 11 ist für macOS 10.11 und und 10.12 gedacht und bietet Usability-Verbesserungen. Xcode 9 arbeitet mit iOS 11 und Co. zusammen.

  2. iPhone-SOS-Funktion in iOS 11: Polizei Toronto von Test-Notrufen überschwemmt

    iPhone-SOS-Funktion in iOS 11: Polizei Toronto von Test-Notrufen überschwemmt

    Die kanadische Polizeibehörde hat dazu aufgerufen, die neue Notruffunktion nicht mehr auszuprobieren – dies blockiere die Leitungen. Das iPhone kann nun auf Tastendruck hin einen Notruf absetzen.

  3. Verkaufsstart für iPhone 8 und Apple Watch 3 – ohne lange Schlangen

    Apple-Store

    Der in der Vergangenheit oft turbulente iPhone-Verkaufsstart fiel am Freitag vielerorts ruhig aus, das iPhone X kommt erst im November. Apple hat auch mit der Auslieferung von Apple Watch Series 3 und Apple TV 4K begonnen.

  4. Kopano und Mattermost: Exchange-Alternative mit Slack-Klon

    Exchange-Alternative mit Slack-Klon

    Die Entwickler der freien Groupware und Exchange-Alternative Kopano, die einst als Zarafa bekannt war, bauen ihr Werkzeug zur Zusammenarbeit in Arbeitsgruppen weiter aus: Jetzt hält mit Mattermost ein modernes Gruppen-Chat-System Einzug.

Anzeige