• IT-Karriere:
  • Services:

Security: LG muss Android-Firmware reparieren

Zwei Sicherheitslücken in LGs-Android Firmware ermöglichen eine Reihe von Angriffen, teilweise auch aus der Ferne. Nutzer sollten schnell reagieren, die Updates stehen bereit.

Artikel veröffentlicht am ,
Die Firmware von LGs Android-Smartphones ist verwundbar.
Die Firmware von LGs Android-Smartphones ist verwundbar. (Bild: Martin Wolf/Golem.de)

Der Smartphone-Hersteller LG hat zwei Sicherheitslücken in der Firmware seiner Android-Geräte behoben. Gefunden wurden sie von der Sicherheitsfirma Checkpoint. Eine der Schwachstellen ermöglicht es Angreifern, die IMEI und Mac-Adresse zu manipulieren, eine weitere Lücke betrifft das WAP-Push-Protokoll. Damit sollen präparierte Textnachrichten an das Gerät geschickt werden können oder bestehende Nachrichten verändert werden. Die gravierendere der beiden Schwachstellen dürfte CVE-2016-2035 sein, da diese auch aus der Ferne ausgenutzt werden kann. Ausgenutzt wird, dass LG in der eigenen Implementation des WAP-Push-Services zwei Features eingebaut hat, die eigentlich nicht für Endnutzer gedacht sind. Mit den Befehlen "Update" und "Delete" können Nachrichten auf dem Gerät manipuliert oder aufgespielt werden. Über eine SQL-Injektion können Angreifer Nachrichten gezielt auf das Telefon senden und so unter bestimmten Umständen auch Schadcode aufspielen. Checkpoint schreibt, dass Angreifer außerdem über Phishing-Angriffe Nutzerdaten abgreifen können.

Lokale Schwachstelle ermöglicht IMEI-Spoofing

Stellenmarkt
  1. ITEOS, Stuttgart
  2. Deutsche Rentenversicherung Bund, Berlin

Die andere Sicherheitslücke mit der MITRE-Nummer CVE-2016-3117 betrifft LGs LGATCMD-Service. Dieser Dienst kann wegen fehlender Bind-Einschränkungen mit allen Apps kommunizieren. Gelingt es Angreifern, Nutzern eine gefälschte App unterzuschieben, können diese die IMEI und die MAC-Adresse auslesen oder verändern, das Gerät neustarten, die USB-Verbindung deaktivieren, den internen Speicher löschen oder das Gerät sperren.

Ransomware könnte die Schwachstelle ausnutzen, schreibt Checkpoint, um den Nutzer per Deaktivierung der USB-Verbindung davon abzuhalten, das Gerät per USB mit einem Rechner zu verbinden und versuche zu unternehmen, die eigenen Daten zu retten.

LG hat ein OTA-Update bereitgestellt. Wer das Update nicht automatisch angeboten bekommt, kann bei LG nachschauen, wie es funktioniert. Checkpoint nennt keine konkret betroffenen Geräte, daher scheinen alle aktuellen LG Smartphones verwundbar zu sein.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Top-Angebote
  1. (u. a. Star Wars: Der Aufstieg Skywalkers für 28,99€, Die Eiskönigin 2 für 19,99€, Parasite...
  2. (u. a. Transcend 430S 512GB SSD für 68,99€, Transcend 960GB SSD extern für 185,99€, Transcend...
  3. (aktuell u. a. Emtec T700 Lightning > USB-A 1,2m für 8,89€, Emtec T650C Type-C Hub für 36...

ibsi 02. Jun 2016

Die LG Suite funktioniert bei mir nicht mehr, seit Win 8.1. Der meckert immer wegen...

Pjörn 01. Jun 2016

Nein LG vertreibt offensichtlich eine eigene Firmware.

synthor 01. Jun 2016

Uff, von wegen LG muss... Das klingt nach einem ziemlich derben herstellerübergreifenden...

ibsi 01. Jun 2016

Danke (k/t)

ibsi 01. Jun 2016

ICH: Hallo, ich habe eine News gelesen das es 2 Sicherheitslücken bei euren Smartphones...


Folgen Sie uns
       


Looking Glass Holo-Display angesehen (CES 2020)

Der Looking Glass 8K ist ein Monitor, der mittels Lichtfeldtechnologie 3D-Inhalte als Hologramm anzeigen kann. Golem.de hat sich das Display auf der CES 2020 genauer angeschaut.

Looking Glass Holo-Display angesehen (CES 2020) Video aufrufen
Nitropad im Test: Ein sicherer Laptop, der im Alltag kaum nervt
Nitropad im Test
Ein sicherer Laptop, der im Alltag kaum nervt

Das Nitropad schützt vor Bios-Rootkits oder Evil-Maid-Angriffen. Dazu setzt es auf die freie Firmware Coreboot, die mit einem Nitrokey überprüft wird. Das ist im Alltag erstaunlich einfach, nur Updates werden etwas aufwendiger.
Ein Praxistest von Moritz Tremmel und Sebastian Grüner

  1. Nitropad X230 Nitrokey veröffentlicht abgesicherten Laptop
  2. LVFS Coreboot-Updates sollen nutzerfreundlich werden
  3. Linux-Laptop System 76 verkauft zwei Laptops mit Coreboot

Alphakanal: Gimp verrät Geheimnisse in Bildern
Alphakanal
Gimp verrät Geheimnisse in Bildern

Wer in Gimp in einem Bild mit Transparenz Bildbereiche löscht, der macht sie nur durchsichtig. Dieses wenig intuitive Verhalten kann dazu führen, dass Nutzer ungewollt Geheimnisse preisgeben.


    Wolcen im Test: Düster, lootig, wuchtig!
    Wolcen im Test
    Düster, lootig, wuchtig!

    Irgendwo zwischen Diablo und Grim Dawn: Die dreckige Spielwelt von Wolcen - Lords Of Mayhem ist Schauplatz für ein tolles Hack'n Slay - egal ob offline oder online, alleine oder gemeinsam. Und mit Cryengine.
    Ein Test von Marc Sauter

    1. Project Mara Microsoft kündigt Psychoterror-Simulation an
    2. Active Gaming Footwear Puma blamiert sich mit Spielersocken
    3. Simulatoren Nach Feierabend Arbeiten spielen

      •  /