Stagefright 2: Das müsst Ihr zur neuen Android-Sicherheitslücke wissen

Peinlich !29
Androids Sicherheit ist durch Stagefright 2.0 gefährdet - mal wieder
Androids Sicherheit ist durch Stagefright 2.0 gefährdet - mal wieder(© 2015 Flickr/Eric Konon)

Als Stagefright Ende Juli bekannt wurde, war die Android-Welt geschockt. Nahezu alle Android-Smartphones waren angreifbar. Es reichte, eine präparierte MMS zu empfangen, schon war das Gerät in der Hand des Angreifers. Mit Stagefright 2.0 haben die Entdecker, die Sicherheitsexperten von Zimperium, nun die nächste Lücke gefunden. Wir erklären, was man zu ihr wissen muss.

Wie funktioniert Stagefright?

Eigentlich handelt es sich bei Stagefright 2.0 nicht um eine, sondern um zwei Lücken. Erst gemeinsam sind sie aktuell gefährlich. Die erste Schwachstelle findet sich in der Systemdatei “libutils”, die zweite in der für den ersten Angriff namensgebenden Medienumgebung “libstagefright”. Die Lücke in libstagefright erlaubt es, mittels einer modifizierten MP3- oder MP4-Datei die Schwachstelle in libutils anzugreifen und dann die volle Kontrolle über das Gerät zu übernehmen. Da für den Angriff das Laden der Metadaten ausreicht, muss die Datei noch nicht einmal aktiv gestartet werden. Das Öffnen einer präparierten Webseite reicht aus.

Klappt das wieder einfach per MMS?

Nein, zumindest nicht auf Geräten, bei denen der Hersteller die erste Stagefright-Lücke geschlossen hat. Hangouts und die SMS-App Messenger sind durch Updates mittlerweile ebenfalls nicht mehr für den Angriff nutzbar. Die Sicherheitsexperten bei Zimperium gehen daher davon aus, dass manipulierte Webseiten der wahrscheinlichste Angriffsweg sein werden.

Welche Smartphones sind betroffen?

Die Lücke in libutils besteht in beinahe allen Android-Geräten seit Android 1.0. Erfolgreich angreifen ließen sich bislang aber nur Geräte mit 5.0 Lollipop und höher - nur sie haben die dafür benötigte Schwachstelle in libstagefright. Die Topsmartphones von Samsung Galaxy S6, LG G4 bis zum Xperia Z5 und Huawei Mate S sind also alle betroffen. Eine Liste mit Geräten, die Lollipop erhalten, findet Ihr hier.

Ein Grund zum Jubeln ist das für Nutzer älterer Android-Versionen aber nicht. Theoretisch könnte jederzeit eine weitere Lücke auftauchen, über die man libutils attackieren kann.

Gibt es schon einen Patch?

Nein. Google ist bereits im August informiert worden, die Veröffentlichung des Patches für Nexus-Geräte soll nach Angaben von Zimperium im geplanten Sicherheits-Update kommende Woche enthalten sein. Wann es den Patch auch für andere Smartphones gibt, hängt von den Herstellern und den Handy-Providern ab. Beim letzten Stagefright dauerte es eine Weile, bis die Hersteller reagierten. Viele Geräte sind nach wie vor angreifbar, eine Menge werden es wohl auch bleiben.

Ist die Lücke schon aktiv genutzt worden?

Nach Angabe von Zimperium deutet aktuell nichts darauf hin, dass es Attacken mittels der beiden Schwachstellen gab. Das kann sich allerdings schnell ändern, wenn es Hackern gelingt, die Ergebnisse der Sicherheitsexperten nachzubauen - und für ihre Zwecke zu nutzen.

Was kann ich unternehmen?

Aktuell leider gar nichts. Ganz so leicht wie bei Stagefright, als man einfach nur die automatische Vorschau bei MMS abschalten musste, ist es diesmal nicht. Dafür ist die Gefahr durch die Lücke geringer. Bei Stagefright konnte man jederzeit und ohne eigenes Verschulden angegriffen werden. Gegen den reinen Empfang einer MMS kann man schließlich wenig unternehmen, ohne die Funktion ganz zu deaktivieren. Diesmal ist das anders. Wer aufpasst, welche Webseiten er aufruft und auf den Besuch unseriöser Angebote verzichtet, muss sich wohl vorerst keine riesigen Sorgen machen.


Weitere Artikel zum Thema
Huawei Mate 20 Pro hat wohl tatsäch­lich Finger­ab­druck­sen­sor im Display
Christoph Lübben
Das Huawei Mate 10 Pro (Bild) hat noch einen Fingerabdrucksensor auf der Rückseite
Das Huawei Mate 20 Pro wird sich wohl nicht nur optisch vom Vorgänger unterscheiden. Auf der Rückseite befindet sich wohl kein Fingerabdrucksensor.
So sollen das Google Pixel 3 und Pixel 3 XL im Vergleich ausse­hen
Christoph Lübben1
Her damit !6Im Oktober erscheint der Nachfolger des Google Pixel 2 XL (Bild)
In Kürze erfolgt die Präsentation von Google Pixel 3 und Pixel 3 XL. Ein Bild zeigt die beiden Smartphones wohl nebeneinander.
iPhone Xs Max in Einzel­tei­len: Darum ist die Repa­ra­tur offen­bar so teuer
Francis Lido5
Die Glasrückseite ist die Schwachstelle des iPhone Xs Max
Der iFixit-Teardown zum iPhone Xs Max ist da. Dieser offenbart, warum der Austausch der Rückseite kompliziert und teuer ist.

Diese Website verwendet Cookies, um die Nutzerfreundlichkeit zu verbessern. Durch die weitere Nutzung der Website stimmen Sie dem zu. Um mehr über die von uns verwendeten Cookies zu erfahren und wie man sie deaktiviert, können Sie unsere Cookie-Richtlinie aufrufen.