Abo
  • Services:
Anzeige
Sicherheitsforscher haben weitere kritische Sicherheitslücken in Android entdeckt.
Sicherheitsforscher haben weitere kritische Sicherheitslücken in Android entdeckt. (Bild: Dsimic CC-BY-3.0)

Stagefright 2.0: Sicherheitslücke macht 1 Milliarde Android-Geräte angreifbar

Sicherheitsforscher haben weitere kritische Sicherheitslücken in Android entdeckt.
Sicherheitsforscher haben weitere kritische Sicherheitslücken in Android entdeckt. (Bild: Dsimic CC-BY-3.0)

Die Stagefright-Sicherheitslücke ist auf vielen Geräten noch nicht geschlossen, da veröffentlicht Zimperium Informationen über weitere Verwundbarkeiten von Android. Mehr als eine Milliarde Geräte sollen betroffen sein - und wieder liegt der Fehler in der Verarbeitung von Mediendateien.

Anzeige

Die Sicherheitsforscher von Zimperium haben zwei weitere kritische Sicherheitslücken in Android gefunden. Angreifbar sind die libutils-Bibliothek und auch wieder libstagefright - die schon von der Sicherheitslücke Stagefright betroffen war. Wie Stagefright kann auch die neu entdeckte Lücke durch manipulierte Mediendateien im .mp3- oder .mp4-Format ausgenutzt werden. Zimperium spricht daher auch von Stagefright 2.0.

Die erste Lücke in der libutils-Bibliothek betrifft nach Angaben der Sicherheitsforscher praktisch alle seit 2008 veröffentlichten Android-Geräte - mehr als 1 Milliarde sollen es sein. Bei Smartphones und Tablets mit Android 5.0 oder höheren Versionen soll die Lücke sich jedoch nur in Verbindung mit der zweiten gefundenen Lücke - wieder in libstagefright - ausnutzen lassen.

Als wahrscheinlichsten Angriffsvektor bezeichnen die Forscher den Webbrowser, möglicherweise aber auch Medienplayer anderer Hersteller. Hangout und die Messenger App kommen als Angriffsvektor nicht mehr infrage, da Google die Apps bereits nach Bekanntwerden der Stagefright-Sicherheitslücke aktualisiert hat.

Drei verschiedene Angriffswege

Die Forscher beschreiben drei Angriffswege, über die Angreifer den Nutzern Mediendateien mit präparierten Metadaten unterschieben können. Hacker könnten Nutzer auf eine manipulierte Webseite locken, die dann den Exploit triggert. Sie können Nutzer auch per Man-in-the-Middle-Angriff infizieren, wenn sie in offenen Netzen surfen oder kompromittierte Router nutzen. Oder sie können angreifen, wenn Nutzer unverschlüsselte Webseiten besuchen.

Die Existenz der Sicherheitslücken hat Zimperium laut Blogpost am 15. August an Google gemeldet. Der libutils-Lücke wurde die Nummer CVE-2015-6602 zugewiesen, die neue Lücke in libstagefright ist unter CVE-2015-3876 bei Google eingetragen.

Patches sind auf dem Weg

Google wird seine Geräte der Nexus-Reihe nach Angaben von Zimperium in der kommenden Woche im Rahmen des neuen monatlichen Patchdays aktualisieren. Dann will Zimperium auch neue Details bekanntgeben. Außerdem hat Google nach Angaben von CSO seinen OEM-Partnern bereits am 10. September Patches zur Verfügung gestellt. Bis diese jedoch bei den Nutzern ankommen, könnte noch etwas Zeit vergehen, auch wenn die großen Android-Hersteller mittlerweile ebenfalls monatliche Sicherheitsupdates einführen wollen.

Damit die Updates Nutzer künftig schneller erreichen, wird derzeit über Änderungen in der Zusammenarbeit im Rahmen des Android-Open-Source-Projektes (AOSP) nachgedacht.


eye home zur Startseite
Anonymer Nutzer 03. Okt 2015

Adblock Plus wurde aus Googles PlayStore geschmissen weil Till Faida, der der...

Slurpee 02. Okt 2015

Auch ne gute Möglichkeit. Es gibt eben auch unter Android Möglichkeiten, zeitnah an...

Anonymer Nutzer 02. Okt 2015

Na offensichtlich mich. Ich hab ja hier nicht behauptet das ich von einer Stable zu...

Slurpee 02. Okt 2015

Nein, wenn die Hardware-Hersteller das OS so stark verändern, dass jedes update zur...

SoniX 02. Okt 2015

Da brauchste auch garnicht wie wild irgendwas runterladen. Es reicht schon ein...



Anzeige

Stellenmarkt
  1. Landeshauptstadt München, München
  2. OPITZ CONSULTING Deutschland GmbH, verschiedene Standorte
  3. cab Produkttechnik GmbH & Co. KG, Karlsruhe
  4. MBtech Group GmbH & Co. KGaA, Stuttgart


Anzeige
Top-Angebote
  1. (heute u. a. mit LG TVs, DX Racer Stühlen und reduzierten Blu-ray-Neuheiten)
  2. (u. a. Sony Xperia L1 für 139€)
  3. 139€

Folgen Sie uns
       


  1. Arduino MKR GSM und WAN

    Mikrocontroller-Boards überbrücken weite Funkstrecken

  2. Fahrdienst

    London stoppt Uber, Protest wächst

  3. Facebook

    Mark Zuckerberg lenkt im Streit mit Investoren ein

  4. Merged-Reality-Headset

    Intel stellt Project Alloy ein

  5. Teardown

    Glasrückseite des iPhone 8 kann zum Problem werden

  6. E-Mail

    Adobe veröffentlicht versehentlich privaten PGP-Key im Blog

  7. Die Woche im Video

    Schwachstellen, wohin man schaut

  8. UAV

    Matternet startet Drohnenlieferdienst in der Schweiz

  9. Joint Venture

    Microsoft und Facebook verlegen Seekabel mit 160 Terabit/s

  10. Remote Forensics

    BKA kann eigenen Staatstrojaner nicht einsetzen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Bundestagswahl 2017: Viagra, Datenbankpasswörter und uralte Sicherheitslücken
Bundestagswahl 2017
Viagra, Datenbankpasswörter und uralte Sicherheitslücken
  1. Zitis Wer Sicherheitslücken findet, darf sie behalten
  2. Merkel im Bundestag "Wir wollen nicht im Technikmuseum enden"
  3. TV-Duell Merkel-Schulz Die Digitalisierung schafft es nur ins Schlusswort

Olympus Tough TG5 vs. Nikon Coolpix W300: Die Schlechtwetter-Kameras
Olympus Tough TG5 vs. Nikon Coolpix W300
Die Schlechtwetter-Kameras
  1. Mobilestudio Pro 16 im Test Wacom nennt 2,2-Kilogramm-Grafiktablet "mobil"
  2. HP Z8 Workstation Mit 3 TByte RAM und 56 CPU-Kernen komplexe Bilder rendern
  3. Meeting Owl KI-Eule erkennt Teilnehmer in Meetings

E-Paper-Tablet im Test: Mit Remarkable machen digitale Notizen Spaß
E-Paper-Tablet im Test
Mit Remarkable machen digitale Notizen Spaß
  1. Smartphone Yotaphone 3 kommt mit großem E-Paper-Display
  2. Display E-Ink-Hülle für das iPhone 7

  1. Re: Der starke Kleber

    ArcherV | 10:36

  2. Re: und die anderen 9?

    ArcherV | 10:34

  3. Re: 197 MBit/s über vodafone.de Speedtest - 30...

    DerDy | 10:24

  4. Re: Mein Fire TV kann halt noch kein H.265

    Sicaine | 10:16

  5. Re: Aber PGP ist schuld ...

    Pete Sabacker | 10:14


  1. 10:56

  2. 15:37

  3. 15:08

  4. 14:28

  5. 13:28

  6. 11:03

  7. 09:03

  8. 17:43


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel