Android-Sicherheitslücke: Googles Stagefright-Patch ist fehlerhaft

Google muss einen der Stagefright-Patches überarbeiten. Der Patch schließt die Sicherheitslücke nicht, und Android-Geräte sind weiterhin angreifbar. Ein korrigierter Patch für die Nexus-Modelle wird diesen Monat aber nicht mehr erscheinen.

Artikel veröffentlicht am ,
Stagefright: Warten auf korrigierten Patch
Stagefright: Warten auf korrigierten Patch (Bild: Joshua Drake)

Einer der von Google verteilten Stagefright-Patches sei fehlerhaft, berichten die Sicherheitsexperten von Exodus Intelligence. So lange der betreffende Patch nicht korrigiert werde, seien Android-Systeme weiterhin angreifbar. Insgesamt hatte Google sechs Sicherheits-Patches veröffentlicht, um alle Stagefright-Angriffsmöglichkeiten zu verhindern. Einer der Patches schützt Systeme aber nicht vor weiteren Angriffen.

Nexus-Besitzer müssen auf korrigierten Patch warten

Google hat den Patch bereits korrigiert und an Gerätehersteller weitergereicht. Bis es den Patch für Besitzer eines Nexus-Gerätes geben wird, dauert es aber noch. Google wolle den überarbeiteten Patch erst im September 2015 veröffentlichen, zitiert unter anderem The Verge eine Google-Stellungnahme. Wann andere Hersteller von Android-Geräten die notwendigen Patches zur Beseitigung der Stagefright-Sicherheitslücke auch in der überarbeiteten Version veröffentlichen werden, ist nicht bekannt. Einzig für Cyanogenmod wurde ein Update bis Ende des Monats versprochen, dann soll auch der fehlerhafte Patch ausgetauscht sein.

Exodus Intelligence hatte den Fehler im Patch am 7. August 2015 bemerkt und Google umgehend informiert - und jetzt die Öffentlichkeit darüber in Kenntnis gesetzt. Üblicherweise wird Herstellern eine deutlich längere Zeitspanne eingeräumt, um ein gefundenes Sicherheitsloch zu beseitigen. Exodus hat sich aber anders entschieden, weil der fehlerhafte Patch im direkten Zusammenhang mit der Sicherheitslücke stehe, über die Google bereits seit Monaten informiert sei.

Fehlerhafter Patch wird weiter verteilt

Außerdem sorgt sich das Unternehmen, dass Google den fehlerhaften Patch trotz der Warnung durch Exodus Intelligence weiter verteilt. Dadurch würden Kunden in trügerischer Sicherheit gewogen, das Sicherheitsloch sei geschlossen. Das Unternehmen zeigt sich auch verärgert darüber, dass Google von sich aus keinen Zeitplan genannt hat, wann der korrigierte Patch erscheinen werde.

Darüber hinaus konnte die Stagefright Detector App von Zimperium noch nicht aktualisiert werden. Derzeit gibt die App noch vor, dass ein System geschützt sei, wenn die aktuellen Patches installiert sind. Exodus Intelligence arbeite mit Zimperium daran, den fehlerhaften Patch als solchen zu erkennen.

Hersteller wollen monatliche Sicherheits-Patches einführen

Von der Sicherheitslücke sind alle Systeme ab Android 2.2 betroffen. Auf Geräte mit Android 4.1 oder einer neueren Version wirkt sich der Fehler nicht so stark aus, hier werden einige Angriffe automatisch abgewehrt. Bis Android 4.1 genügt bereits der Empfang einer MMS, um Opfer eines Angriffs zu werden. Auf aktuelleren Systemen muss der Nutzer aktiv werden, damit sich die Sicherheitslücke ausnutzen lässt.

Google, Samsung und LG haben als Reaktion auf die Stagefright-Lücke angekündigt, künftig einmal monatlich Sicherheitsupdates für ihre Geräte zu veröffentlichen. Vergleichbare Schritte gibt es von Sony, Motorola, HTC oder Huawei bislang nicht.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


ocm 17. Aug 2015

Du hast die Meldung scheinbar falsch verstanden, aber die Überschrift ist auch...

Jasmin26 16. Aug 2015

sieh dir Android von 1,5 bis heute an, und vergleichs ( Qualität) mit den gaaps, da wird...

ChristianIgdna 16. Aug 2015

Wow, da schafft es also ein Riesen Unternehmen, die Hälfte der Bedrohungen zu stopfen...

ChristianIgdna 16. Aug 2015

Ist ja schön und gut, dass Samsung und HTC auch irgendwann Updates anbieten wollen...



Aktuell auf der Startseite von Golem.de
JPEG XL
Die Browserhersteller sagen nein zum Bildformat

JPEG XL ist das überlegene Bildformat. Aber Chrome und Firefox brechen die Implementierung ab. Wir erklären das Format und schauen auf die Gründe für die Ablehnung.
Eine Analyse von Boris Mayer

JPEG XL: Die Browserhersteller sagen nein zum Bildformat
Artikel
  1. Walking Simulator: Gameplay von The Day Before erntet Spott
    Walking Simulator
    Gameplay von The Day Before erntet Spott

    Nach Betrugsvorwürfen haben die Entwickler von The Day Before nun Gameplay veröffentlicht - das nicht besonders gut ankommt.

  2. Lasertechnik: Hoffnung auf Femtosekundenlaser für die Hosentasche
    Lasertechnik
    Hoffnung auf Femtosekundenlaser für die Hosentasche

    An der Universität Yale wurde ein Titan-Saphir-Laser auf einem Chip erzeugt und fortgeschrittene Lasertechnik auf Millimetergröße geschrumpft.

  3. Knockout City: Drei Games-as-a-Service weniger in einer Woche
    Knockout City
    Drei Games-as-a-Service weniger in einer Woche

    Rumbleverse, Apex Legends Mobile und Knockout City: Innerhalb weniger Tage heißt es Game Over für drei bekannte Multiplayerspiele.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Mindfactory DAMN-Deals: Grakas, CPUs & Co. • HTC Vice 2 Pro Full Kit 899€ • RAM-Tiefstpreise • Amazon-Geräte bis -50% • Samsung TVs bis 1.000€ Cashback • Corsair HS80 7.1-Headset -42% • PCGH Cyber Week • Samsung Curved 27" WQHD 267,89€ • Samsung Galaxy S23 vorbestellbar [Werbung]
    •  /