Stagefright

Das Android-Sicherheitsupdate für September schließt kritische Sicherheitslücken, darunter eine im Media-Framework.

John McAfee ist mit einem neuen Projekt zurück - und will dieses Mal den Smartphonemarkt revolutionieren. Sein Privacy Phone soll Nutzer mit Hardwareschaltern für WLAN, Bluetooth und GPS vor Angriffen durch Hacker schützen. Die wichtigsten Fragen für ein sicheres Smartphone lässt McAfee allerdings offen.
Ein IMHO von Hauke Gierow

Nach der Softwareaktualisierung ist das Betriebssystem an einigen Stellen auf einmal auf Englisch: Sony ist bei der Implementierung von Sicherheitspatches offenbar ein Fehler unterlaufen. Das Update soll bald ein Update erhalten.
Von Hauke Gierow

Die Vault-7-Veröffentlichungen von Wikileaks sind interessanter als vorherige Leaks. Doch sie zeigen darüber hinaus: Auch die CIA kommt um viele Sicherheitsmechanismen nicht herum. Und wir sollten alle etwas chillen.
Ein IMHO von Hauke Gierow

MWC 2017 Das sicherste Smartphone der Welt? Mit diesem Versprechen geht in Barcelona die Firma Cog Systems an den Start. Bei dem Gerät handelt es sich um ein HTC A9 mit einigen Extras - etwa einem Hypervisor und fest verbautem VPN.
Von Hauke Gierow

Project Zero meint es ernst: Zum dritten Mal innerhalb weniger Monate gibt es einen Bugreport ohne Patch von Microsoft. Dieses Mal handelt es sich um einen Type-Confusion-Fehler in Internet Explorer und Edge.

Wer alte Exploits rumliegen hat, kann diese jetzt möglicherweise zu Geld machen. Zimperium sucht alte Schwachstellen für iOS und Android und will dafür bis zu 1,5 Millionen US-Dollar ausgeben.

Alle bislang ausgelieferten Android-Geräte sind für die Dirty-Cow-Sicherheitslücke anfällig. Einen Patch wird es frühestens im kommenden Monat geben. Einige Nutzer scheinen sich aber auch zu freuen - denn Rooting ist durch die Lücke recht trivial.

Mit forcierten Bitflips im Arbeitsspeicher lassen sich leicht Root-Rechte auf Systemen erlangen. Forscher zeigen, dass dies auch zuverlässig auf Android-Telefonen umsetzbar ist und Gegenmaßnahmen eher schwierig sind, was auch an dem Android-System liegt.

Eine kritische Sicherheitslücke in Android ermöglicht die Ausführung von Code mit Rechten des Medienservers. Mit dem September-Update hat Google außerdem zahlreiche weitere Lücken behoben.

Mit der aktuellen Version 48 des Firefox-Browsers rollt Mozilla endlich die Multi-Prozess-Architektur aus, vorerst aber nur für wenige Nutzer. Die Version forciert außerdem die Addon-Signaturen, enthält Webextensions, Rust-Code und beendet den Support für alte Mac-OS-Versionen.

Manche Smartphone-Hersteller verteilen monatliche Updates, um ihren Nutzern Googles aktuelle Sicherheits-Patches zu bringen. Motorola findet das zu schwierig - auch das neue Top-Gerät Moto Z soll daher diesen Service nicht bekommen. Eine fragwürdige Entscheidung.

Gravierende Sicherheitslücken in seinen Betriebssystemen hat Apple mit ganz unauffälligen Updates am Montag beseitigt. Sie ermöglichten es, aus der Ferne Schadcode auszuführen, und werden sogar mit Androids Stagefright-Desaster verglichen. Aber es gibt Unterschiede.

Viele Besitzer eines Nexus 5 können die Lautstärke des Smartphones seit dem Juli-Patch nicht mehr ohne Weiteres einstellen. Alles deutet auf einen Fehler im Android-Kernel hin, eine Abhilfe existiert bereits, wenn auch nicht von Google.

Die kommende Version 48 des Firefox-Browsers wird erstmals Code in der neuen Programmiersprache Rust verwenden. Das dient dem Umgang mit Media-Dateien, über die oft schwere Sicherheitslücken ausgenutzt werden.

Mit einem neuen Mechanismus sollen kritische Sicherheitslücken in Android schneller geschlossen werden. Dazu probiert Google am Juli-Patchday ein neues Verfahren aus. Das aktuelle Update ist das bislang umfangreichste.

Mehrere Schwachstellen in Android ermöglichen Angreifern, Zugriff auf Verschlüsselungskeys zu bekommen. Google hat die konkreten Lücken gepatcht, doch das Grundproblem bleibt: Die Schlüssel sind für die Software zugänglich. Nutzer können nur wenig tun.

Wieder einmal sind Antivirenprodukte prominenter Hersteller von schweren Sicherheitslücken betroffen. Angreifer können Systeme mit Norton- und Symantec-Software zum Absturz bringen, bei Windows-Rechnern soll es besonders schlimm sein.

Googles Safe-Browsing API warnt derzeit vor Google.com, weil auf einer Unterseite Malware verteilt wurde. Der Suchmaschinenkonzern hält es jedoch mit Douglas Adams: "Don't Panic".

Google hat zahlreiche Schwachstellen in Android geschlossen, darunter Fehler in der Medienverwaltung und den entsprechenden Bibliotheken. Auch eine Sicherheitslücke im Kernel wurde behoben.

Stagefright bedroht viele nach wie vor ungepatchte Android-Geräte weltweit, gilt aber als schwierig auszunutzen. Eine neue Technik erfordert etwas Infrastruktur, dürfte aber größere praktische Relevanz haben.

US-Behörden warnen, Verdächtige würden durch Verschlüsseln und Verschleiern im Netz unsichtbar. Fachleute widersprechen: Strafverfolger seien keineswegs machtlos.
Von Marvin Strathmann

Holländische Verbraucherschützer wollen Samsung dazu zwingen, die Kunden transparenter über geplante Android-Updates für neue Geräte zu informieren. Auch Sicherheitslücken sollen schneller geschlossen werden. Nach erfolglosen Verhandlungen geht es jetzt vor Gericht.

Zum Wohl der Entwickler und der Kunden haben in diesem Jahr ehemalige Open-Source-Gegner wie Microsoft oder Apple stark auf offenen Quellcode gesetzt. Einige der offenen Mobilbetriebssysteme straucheln dagegen und selbst Android-Hersteller beklagen Probleme bei der Entwicklung.
Von Sebastian Grüner

IT-Systeme sind in diesem Jahr unsicherer geworden. Das BSI warnt in seinem Lagebericht vor vermehrten Softwarelücken, aber auch vor Gefahren durch manipulierte Hardware. Ein besonderer Schutz gegen IT-Angriffe von Terroristen sei nicht nötig, sagte der Innenminister.

Die neue Android-Version 6.0 alias Marshmallow bekommt nach einem Monat ihre erste Sicherheitsaktualisierung. Grund sind insgesamt sieben Bedrohungen, von denen Google zwei als kritisch einstuft.

Um die Sicherheit von Android-Geräten ist es nicht gut bestellt: Ein Team der Universität Cambridge hat Zahlen zur Update-Politik der Hersteller erhoben. Dabei setzen die Forscher auch auf die freiwillige Hilfe von Gerätenutzern.

Der Amerikachef von HTC bezeichnet monatliche Sicherheitsupdates für Android-Geräte als unrealistisches Versprechen. Google hat unterdessen für die Nexus-Geräte einen Patch für Stagefright 2.0 veröffentlicht.

Golem.de-Wochenrückblick Google hat diese Woche gleich fünf neue Geräte vorgestellt, Tesla sein neues E-Auto und Apple sein neues Betriebssystem El Capitan. Und der Mond schien anders als sonst. Sieben Tage und viele Meldungen im Überblick.

Die Stagefright-Sicherheitslücke ist auf vielen Geräten noch nicht geschlossen, da veröffentlicht Zimperium Informationen über weitere Verwundbarkeiten von Android. Mehr als eine Milliarde Geräte sollen betroffen sein - und wieder liegt der Fehler in der Verarbeitung von Mediendateien.

Google-Ingenieure aus dem Project-Zero-Team haben einen neuen Exploit vorgestellt, der die Stagefright-Sicherheitslücke ausnutzt. Darin demonstrieren sie eine Schwäche von ASLR, das der Konzern lange als Sicherheitsfeature angepriesen hat. Auch Zimperium hat neue Stagefright-Exploits gefunden.

Viele Hersteller pflegen eigene Android-Forks sowie Hardwareabstraktionen und tragen wenig oder gar nicht zu Googles AOSP bei. Das erschwert adäquate Reaktionen auf Lücken wie Stagefright. Einige Entwickler diskutieren deshalb Möglichkeiten zum Lösen dieser Probleme.

Nach der Entdeckung der Stagefright-Sicherheitslücke hatte Google angekündigt, einen monatlichen Patchday mit Sicherheitsupdates einzuführen. Jetzt sind die ersten Builds veröffentlicht worden.

Die Stagefright-Entdecker legen nach: Sie haben einen Exploit zur Ausnutzung der Sicherheitslücke veröffentlicht. Die meisten Gerätehersteller haben die Lücke bislang nicht gepatcht.

Nutzer älterer Sony-Smartphones und -Tablets in Deutschland bekommen Android 5.1.1 auf ihre Geräte: Unter anderem das Xperia Tablet Z und das Xperia ZL erhalten das Update. Auch Nutzer des Samsung Galaxy Note 4 können sich über die aktuelle Android-Version freuen.

Das Cyanogenmod-Team hat zahlreiche neue Builds seiner alternativen Android-Distribution veröffentlicht: Neben dem ersten Release von CM12.1 gibt es auch neue Versionen der älteren Releases von CM11.0 und CM12.0. Diese beinhalten Patches zur Stagefright-Sicherheitslücke.

Google muss einen der Stagefright-Patches überarbeiten. Der Patch schließt die Sicherheitslücke nicht, und Android-Geräte sind weiterhin angreifbar. Ein korrigierter Patch für die Nexus-Modelle wird diesen Monat aber nicht mehr erscheinen.

Golem.de-Wochenrückblick Diese Woche steht mit der Gamescom und Intels Skylake-Plattform im Zeichen der Spieler. Aber auch Betriebssystemfans kamen nicht zu kurz. Sieben Tage und viele Meldungen im Überblick.

Black Hat 2015 Auf der Black-Hat-Konferenz hat Joshua Drake die Hintergründe zu den Stagefright-Sicherheitslücken erläutert. Über mindestens elf verschiedene Wege lässt sich ein Android-System seinem Vortrag zufolge angreifen. Fortschritte gibt es bei den Android-Updates.

Black Hat 2015 Die Sicherheitslücke in Androids Stagefright-Framework bewirkt ein Umdenken: Sowohl Google als auch Samsung führen einen monatlichen Patchday ein, an dem Sicherheits-Updates unabhängig von eigentlichen Systemaktualisierungen bereitgestellt werden sollen.

MMS-Nutzer müssen wegen einer Android-Schwachstelle auf die direkte Zustellung verzichten. Die Telekom will so ihre Kunden schützen.

Black Hat 2015 Erste Nachweise, dass sich die wohl gravierende Sicherheitslücke in Android ausnutzen lässt, sind bereits im Umlauf. Patches gibt es zwar schon für Android und Cyanogenmod - bis die Hersteller sie bereitstellen, könnte Stagefright aber millionenfach missbraucht worden sein.

Black Hat 2015 Vorsicht beim Filmegucken auf dem Android-Smartphone. Eine manipulierte MKV-Datei kann das gesamte System einfrieren. Befindet sie sich bereits auf dem Gerät, hilft auch ein Neustart nichts.

Black Hat 2015 Laut einem IT-Sicherheitsforscher lassen sich fast alle im Umlauf befindlichen Geräte vergleichsweise einfach in Wanzen verwandeln. Details gibt es noch nicht, es soll aber mehrere Schwachstellen in Androids Stagefright-Framework geben.

Die freie Codecsammlung FFmpeg liegt in Version 0.9 vor und soll unter anderem bessere Unterstützung für Android bringen. Es ist die erste große neue Version, seit das Projekt gespalten wurde.

Google hat sein Smartphone-Betriebssystem Android in der Version 2.2 alias Froyo im Quelltext veröffentlicht. Die neue Android-Version soll deutlich schneller arbeiten und erlaubt die Verwandlung eines Android-Smartphones in einen mobilen WLAN-Hotspot.