Abo
  • Services:

Security: LG muss Android-Firmware reparieren

Zwei Sicherheitslücken in LGs-Android Firmware ermöglichen eine Reihe von Angriffen, teilweise auch aus der Ferne. Nutzer sollten schnell reagieren, die Updates stehen bereit.

Artikel veröffentlicht am ,
Die Firmware von LGs Android-Smartphones ist verwundbar.
Die Firmware von LGs Android-Smartphones ist verwundbar. (Bild: Martin Wolf/Golem.de)

Der Smartphone-Hersteller LG hat zwei Sicherheitslücken in der Firmware seiner Android-Geräte behoben. Gefunden wurden sie von der Sicherheitsfirma Checkpoint. Eine der Schwachstellen ermöglicht es Angreifern, die IMEI und Mac-Adresse zu manipulieren, eine weitere Lücke betrifft das WAP-Push-Protokoll. Damit sollen präparierte Textnachrichten an das Gerät geschickt werden können oder bestehende Nachrichten verändert werden. Die gravierendere der beiden Schwachstellen dürfte CVE-2016-2035 sein, da diese auch aus der Ferne ausgenutzt werden kann. Ausgenutzt wird, dass LG in der eigenen Implementation des WAP-Push-Services zwei Features eingebaut hat, die eigentlich nicht für Endnutzer gedacht sind. Mit den Befehlen "Update" und "Delete" können Nachrichten auf dem Gerät manipuliert oder aufgespielt werden. Über eine SQL-Injektion können Angreifer Nachrichten gezielt auf das Telefon senden und so unter bestimmten Umständen auch Schadcode aufspielen. Checkpoint schreibt, dass Angreifer außerdem über Phishing-Angriffe Nutzerdaten abgreifen können.

Lokale Schwachstelle ermöglicht IMEI-Spoofing

Stellenmarkt
  1. Robert Bosch GmbH, Immenstaad am Bodensee
  2. Vodafone GmbH, Düsseldorf

Die andere Sicherheitslücke mit der MITRE-Nummer CVE-2016-3117 betrifft LGs LGATCMD-Service. Dieser Dienst kann wegen fehlender Bind-Einschränkungen mit allen Apps kommunizieren. Gelingt es Angreifern, Nutzern eine gefälschte App unterzuschieben, können diese die IMEI und die MAC-Adresse auslesen oder verändern, das Gerät neustarten, die USB-Verbindung deaktivieren, den internen Speicher löschen oder das Gerät sperren.

Ransomware könnte die Schwachstelle ausnutzen, schreibt Checkpoint, um den Nutzer per Deaktivierung der USB-Verbindung davon abzuhalten, das Gerät per USB mit einem Rechner zu verbinden und versuche zu unternehmen, die eigenen Daten zu retten.

LG hat ein OTA-Update bereitgestellt. Wer das Update nicht automatisch angeboten bekommt, kann bei LG nachschauen, wie es funktioniert. Checkpoint nennt keine konkret betroffenen Geräte, daher scheinen alle aktuellen LG Smartphones verwundbar zu sein.



Anzeige
Top-Angebote
  1. (u. a. Samsung 32"-UHD-Monitor inkl. 19% Rabatt im Warenkorb für 363,99€ statt 449€ im...
  2. (u. a. Total War Warhammer II für 22,99€ und Dishonored 2 für 8,29€)
  3. 239€ oder 189€ mit 0%-Finanzierung und Gutschein: HARDWARE50 (Vergleichspreis 273,89€)
  4. mit Gutschein: HARDWARE50 (nur für Neukunden, Warenwert 104 - 1.000 Euro)

ibsi 02. Jun 2016

Die LG Suite funktioniert bei mir nicht mehr, seit Win 8.1. Der meckert immer wegen...

Pjörn 01. Jun 2016

Nein LG vertreibt offensichtlich eine eigene Firmware.

synthor 01. Jun 2016

Uff, von wegen LG muss... Das klingt nach einem ziemlich derben herstellerübergreifenden...

ibsi 01. Jun 2016

Danke (k/t)

ibsi 01. Jun 2016

ICH: Hallo, ich habe eine News gelesen das es 2 Sicherheitslücken bei euren Smartphones...


Folgen Sie uns
       


Saugen oder Glitzern in Vampyr - Livestream

Es geht hoch her in London anno 1918, wie die Golem.de-Redakteure Christoph und Michael am eigenen, nach Blut lächzenden Körper erfahren.

Saugen oder Glitzern in Vampyr - Livestream Video aufrufen
Hacker: Was ist eigentlich ein Exploit?
Hacker
Was ist eigentlich ein Exploit?

In Hollywoodfilmen haben Hacker mit Sturmmasken ein ganzes Arsenal von Zero-Day-Exploits, und auch sonst scheinen die kleinen Programme mehr und mehr als zentraler Begriff der IT-Sicherheit verstanden zu werden. Der Hacker Thomas Dullien hingegen versucht sich an einem theoretischen Modell eines Exploits.
Von Hauke Gierow

  1. IoT Foscam beseitigt Exploit-Kette in Kameras
  2. Project Capillary Google verschlüsselt Pushbenachrichtigungen Ende-zu-Ende
  3. My Heritage DNA-Dienst bestätigt Datenleck von 92 Millionen Accounts

Alte gegen neue Model M: Wenn die Knickfedern wohlig klackern
Alte gegen neue Model M
Wenn die Knickfedern wohlig klackern

Seit 1999 gibt es keine Model-M-Tastaturen mit IBM-Logo mehr - das bedeutet aber nicht, dass man keine neuen Keyboards mit dem legendären Tippgefühl bekommt: Unicomp baut die Geräte weiterhin. Wir haben eines der neuen Modelle mit einer Model M von 1992 verglichen.
Ein Test von Tobias Költzsch

  1. Kailh KS-Switch im Test Die bessere Alternative zu Cherrys MX Blue
  2. Apple-Patent Krümel sollen Macbook-Tastatur nicht mehr stören
  3. Tastaturen Matias bringt Alternative zum Apple Wired Keyboard

Deutsche Siri auf dem Homepod im Test: Amazon und Google können sich entspannt zurücklehnen
Deutsche Siri auf dem Homepod im Test
Amazon und Google können sich entspannt zurücklehnen

In diesem Monat kommt der dritte digitale Assistent auf einem smarten Lautsprecher nach Deutschland: Siri. Wir haben uns angehört, was die deutsche Version auf dem Homepod leistet.
Ein Test von Ingo Pakalski

  1. Patentantrag von Apple Neues Verfahren könnte Siri schlauer machen
  2. Siri vs. Google Assistant Apple schnappt sich Googles KI-Chefentwickler
  3. Digitaler Assistent Apple will Siri verbessern

    •  /