Abo
  • Services:
Anzeige
Noch immer sind viele Android-Geräte durch Stagefright verwundbar.
Noch immer sind viele Android-Geräte durch Stagefright verwundbar. (Bild: Zimperium)

Sicherheitslücke: Stagefright-Quellcode jetzt öffentlich, Updates noch nicht

Noch immer sind viele Android-Geräte durch Stagefright verwundbar.
Noch immer sind viele Android-Geräte durch Stagefright verwundbar. (Bild: Zimperium)

Die Stagefright-Entdecker legen nach: Sie haben einen Exploit zur Ausnutzung der Sicherheitslücke veröffentlicht. Die meisten Gerätehersteller haben die Lücke bislang nicht gepatcht.

Anzeige

Seit dem 9. September ist der Schadcode verfügbar, der zur Ausführung der Stagefright-Sicherheitslücke benötigt wird. Die Sicherheitsforscher von Zimperium erhöhen damit den Druck auf Google und die Hersteller von Android-Geräten, wirksame Sicherheitsupdates zu veröffentlichen.

Zimperium hat ein Python-Skript veröffentlicht, das eine MP4-Datei erstellt, die die stsc-Sicherheitslücke (Nummer CVE-2015-1538 #1) ausnutzt. Dadurch können Angreifer nach Angaben der Forscher Fotos mit dem Gerät der Nutzer schießen und das Mikrofon abhören, ohne weitere Schwachstellen auszunutzen. Die Forscher haben den Exploit nach eigenen Angaben bislang nur auf einem Nexus-Gerät mit der Android-Version 4.0.4 getestet, Nutzer mit Android in der Version 5.0 oder höher sollen nicht betroffen sein.

Google hat einige Lücken gepatcht

Google hat bereits einige Patches entwickelt, um die Sicherheitslücken zu mitigieren. Updates für Hangout und die Messenger-App blockieren die Ausführung von Schadcode. Doch mit Malware präparierte Webseiten können die meisten Android-Geräte nach wie vor angreifen. Einige Sicherheitsupdates von Google waren zudem fehlerhaft.

Die meisten Android-Nutzer profitieren von Googles Sicherheitsupdates aber ohnehin nur bei den Apps - Betriebssystemupdates liegen in der Verantwortung der Gerätehersteller. Da diese ihre Android-Versionen in der Regel stark anpassen, brauchen sie oft lange, um Sicherheitslücken zu stopfen. Als Sicherheitsmaßnahme hat die Telekom Anfang August angekündigt, den Empfang von MMS vorläufig zu blockieren, bis alle Lücken wirksam gepatcht sind.

Google, Samsung und LG wollen als Reaktion auf Stagefright nun monatliche Patchdays einführen, um Sicherheitslücken auch unabhängig von komplexen Betriebssystemupdates verteilen zu können. Golem.de hat die Hersteller nach einem konkreten Patchdatum gefragt - denn bislang sind viele Geräte nach wie vor verwundbar.

Mit dem Stagefright-Detektor das eigene Smartphone testen

Mit der App Stagefright-Detektor können Android-Nutzer selbst überprüfen, ob ihr Gerät angreifbar ist. Auf einem Galaxy Note 3 von Samsung mit den aktuellsten Updates werden aktuell fünf von sechs bekannten Lücken als angreifbar angezeigt.


eye home zur Startseite
litex 18. Sep 2015

Habe das Update gestern auch bekommen, alle Lücken sind geschlossen. Über die manuelle...

nille02 11. Sep 2015

Bei den älteren, ja, bei neueren nicht mehr. Dort bekommst du dann nur Rechte für die...

Bill Carson 11. Sep 2015

Mein Möhre ist schon gefixt, meine damalige Kaufentscheidung hat sich zum X-ten mal...

nille02 10. Sep 2015

An der Oberfläche müssen sie nicht mal was verändern. dennoch gibt es bei vielen Geräten...

nille02 10. Sep 2015

cve-2015-3828 ist beim MotoG auch noch offen.



Anzeige

Stellenmarkt
  1. AEbt Angewandte Eisenbahntechnik GmbH, Nürnberg
  2. Gemeinnützige Werkstätten und Wohnstätten GmbH, Gärtringen
  3. Haufe Group, Freiburg im Breisgau
  4. Landeshauptstadt München, München


Anzeige
Top-Angebote
  1. 4,44€
  2. 99€ für Prime-Mitglieder
  3. 99€ (nur bis Montag 9 Uhr)

Folgen Sie uns
       


  1. Mass Effect

    Bioware erklärt Arbeit an Kampagne von Andromeda für beendet

  2. Kitkat-Werbespot

    Atari verklagt Nestlé wegen angeblichem Breakout-Imitat

  3. Smarter Lautsprecher

    Google Home erhält Bluetooth-Zuspielung und Spotify Free

  4. Reverb

    Smartphone-App aktiviert Alexa auf Zuruf

  5. Bildbearbeitung

    Google-Algorithmus entfernt Wasserzeichen auf Fotos

  6. Ladestationen

    Regierung lehnt Zwangsverkabelung von Tiefgaragen ab

  7. Raspberry Pi

    Raspbian auf Stretch upgedatet

  8. Trotz Förderung

    Breitbandausbau kommt nur schleppend voran

  9. Nvidia

    Keine Volta-basierten Geforces in 2017

  10. Grafikkarte

    Sonnets eGFX Breakaway Box kostet 330 Euro



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Threadripper 1950X und 1920X im Test: AMD hat die schnellste Desktop-CPU
Threadripper 1950X und 1920X im Test
AMD hat die schnellste Desktop-CPU
  1. Ryzen AMD bestätigt Compiler-Fehler unter Linux
  2. CPU Achtkerniger Threadripper erscheint Ende August
  3. Ryzen 3 1300X und 1200 im Test Harte Gegner für Intels Core i3

Sysadmin Day 2017: Zum Admin-Sein fehlen mir die Superkräfte
Sysadmin Day 2017
Zum Admin-Sein fehlen mir die Superkräfte

Ausweis: Prepaid-Registrierung bislang nicht konsequent umgesetzt
Ausweis
Prepaid-Registrierung bislang nicht konsequent umgesetzt
  1. 10 GBit/s Erste 5G-Endgeräte sind noch einen Kubikmeter groß
  2. Verbraucherzentrale Datenlimits bei EU-Roaming wären vermeidbar
  3. Internet Anbieter umgehen Wegfall der EU-Roaming-Gebühren

  1. Re: Ach Bioware....

    Ember | 17:18

  2. Re: Es gibt einen grundsätzlichen Denkfehler bei...

    derdiedas | 17:17

  3. Re: Viele Hersteller würden sich freuen,

    DonKamillentee | 17:17

  4. Re: Danke Electronic Arts...

    gaym0r | 17:08

  5. Re: Finde ich gut

    User_x | 17:07


  1. 13:33

  2. 13:01

  3. 12:32

  4. 11:50

  5. 14:38

  6. 12:42

  7. 11:59

  8. 11:21


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel