• IT-Karriere:
  • Services:

Mobilfunk: Sicherheitslücke macht auch Smartphones angreifbar

Große Teile der Mobilfunkinfrastruktur sind laut Sicherheitsforschern über eine Lücke in einer Software-Bibliothek gefährdet. Ein Fix steht zwar bereit, doch Updates wird es für die meisten Geräte wohl nicht geben.

Artikel veröffentlicht am ,
Sicherheitslücke offenbar in großen Teilen der Mobilfunkinfrastruktur
Sicherheitslücke offenbar in großen Teilen der Mobilfunkinfrastruktur (Bild: Wikipedia/Niwre/CC-BY-SA 3.0)

Eine kürzlich veröffentlichte Sicherheitslücke in einer Software-Bibliothek stellt nicht nur für Mobilfunktürme, sondern auch Router, Switches und individuelle Smartphones im Mobilfunknetzwerk ein Risiko dar, wie die Entdecker mitteilen.

Stellenmarkt
  1. Bundesanstalt für Immobilienaufgaben, Bonn
  2. Kommunale Unfallversicherung Bayern, München

Wie Arstechnica berichtet, versteckt sich der Heap-Overflow-Fehler in einer Bibliothek der Firma Objective Systems, die in großer Zahl in Mobilfunkhardware von Qualcomm sitzt. Forscher überprüften derzeit, ob der betreffende Code auch in Produkten anderer Hersteller wie etwa AT&T, BAE Systems, Broadcom, Cisco Systems, Deutsche Telekom oder Ericsson eingesetzt wird.

Pufferüberlauf ermöglicht Ausführen beliebigen Codes

Durch die Lücke sei es möglich, den Datenstrom des Mobilfunkanbieters so zu modifizieren, dass ein Angreifer damit aus der Ferne beliebigen Code auf dem Zielgerät ausführen könne. Laut Security Advisory ist dabei in den meisten Fällen keine Authentifizierung notwendig.

Das Ausnutzen der Lücke sei nicht trivial, denn sie setze sowohl sehr gute Kenntnis als auch Zugriff auf das verwendete Mobilfunknetz voraus. Dennoch wird sie von Experten als kritisch eingestuft: "Solche Baseband-Schwachstellen sind die derzeit größte Sorge für Verbraucher, weil eine erfolgreiche Ausnutzung ein gesamtes Gerät kompromittieren kann, selbst wenn andere Sicherheitsmaßnahmen und Verschlüsselung aktiviert sind", sagte HD Moore der Firma Special Circumstances Arstechnica.

Patch-Rollout schwierig

Die betroffene Software sei das "Rückgrat" heutiger Mobilfunksysteme. Selbst wenn es einem Angreifer nicht gelänge, Schadcode auf einem Zielgerät auszuführen, könnten über diese Lücke per Denial-of-Service-Attacken große Teile einer Kommunikationsinfrastruktur lahmgelegt werden, so Moore.

Erschwert wird die Sicherheitslücke aber durch ein weiteres Problem: "Diese Art der Infrastruktur bekommt einfach keine Updates", zitiert Arstechnica Dan Guido, CEO der Firma Trails of Bits. Zwar hat Objective Systems bereits einen Fix veröffentlicht, der die Lücke schließen soll, aber die Chancen, Milliarden Mobilfunkgeräte und Infrastrukturteile zu patchen, stehen schlecht. Damit bleibt die Lücke wohl noch für lange Zeit ein potenzielles Ziel für Angreifer mit entsprechenden Ressourcen und Kenntnissen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Spiele-Angebote
  1. 11,49€

tg-- 27. Jul 2016

Da von Baseband die Rede ist geht es mit ziemlicher Sicherheit um das Echtzeit...

Moe479 26. Jul 2016

der eigentliche skandal ist, dass dir hersteller mit nichten daran interessiert sind...


Folgen Sie uns
       


Core i7-1185G7 (Tiger Lake) im Test: Gut gebrüllt, Intel
Core i7-1185G7 (Tiger Lake) im Test
Gut gebrüllt, Intel

Dank vier äußerst schneller CPU-Kerne und überraschend flotter iGPU gibt Tiger Lake verglichen zu AMDs Ryzen 4000 eine gute Figur ab.
Ein Test von Marc Sauter

  1. Tiger Lake Überblick zu Intels 11th-Gen-Laptops
  2. Project Athena 2.0 Evo-Ultrabooks gibt es nur mit Windows 10
  3. Ultrabook-Chip Das kann Intels Tiger Lake

Burnout im IT-Job: Mit den Haien schwimmen
Burnout im IT-Job
Mit den Haien schwimmen

Unter Druck bricht ein Webentwickler zusammen - zerrieben von zu eng getakteten Projekten. Obwohl die IT-Branche psychische Belastungen als Problem erkannt hat, lässt sie Beschäftigte oft allein.
Eine Reportage von Miriam Binner


    Java 15: Sealed Classes - Code-Smell oder moderne Erweiterung?
    Java 15
    Sealed Classes - Code-Smell oder moderne Erweiterung?

    Was bringt das Preview Feature aus Java 15, wie wird es benutzt und bricht das nicht das Prinzip der Kapselung?
    Eine Analyse von Boris Mayer

    1. Java JDK 15 geht mit neuen Features in die General Availability
    2. Java Nicht die Bohne veraltet
    3. JDK Oracle will "Schmerzen" von Java beheben

      •  /