Bild: Zimperium

Eine Sicherheitslücke in nahezu allen Android-Smartphones erlaubt das Ausführen von Schadcode. In einigen Fällen muss der User die MMS dazu nicht mal öffnen.

Zimperium zLabs hat eine neue Sicherheitslücke in Android entdeckt, wie Forbes berichtet. Die Lücke betrifft alle Varianten des mobilen Betriebssystems ab Version 2.2 - laut Zimperium sind das bis zu 950 Millionen Geräte. Die Schwachstelle befindet sich in Stagefright, einer Medienwiedergabe-Engine von Android.

Laut Zimperium brauchen Angreifer lediglich eine Telefonnummer, um eine MMS mit Schadcode zu verschicken. Angreifer können so Zugriff auf gespeicherte Fotos und Videos erlangen. Auch das Aufnehmen von Ton und Videos und damit das Abhören des Users soll möglich sein. Die Lücke könnte auch in Kombination mit anderen Lücken genutzt werden, um noch mehr Zugriff auf das Gerät zu erhalten.

Ist Hangouts die Standard-App für MMS, wird der Schadcode ausgeführt, bevor der User überhaupt benachrichtigt wird, dass eine MMS eingetroffen. Laut Zimperium könnten Angreifer so die MMS gleich nach dem Ausführen des Schadcodes löschen.

Info

Wie groß ist die Bedrohung wirklich, wie sie hier und da prognostiziert wird?

Da die Infektion über ein Video in einer MMS (Multimedia-SMS) erfolgen muss, sind keine Geräte angreifbar, die mangels SIM-Karte und Telefonnummer gar keine MMS empfangen können, also z.B. WLAN-Tablets.

Da eine MMS an eine Telefonnummer versendet werden muss und dabei für den Absender kostenpflichtig ist, sind zwar gezielte Angriffe möglich, wohl kaum aber flächendeckende nach Art von Spam. Der Angreifer muss die Telefonnummer kennen.

Nicht jede Version von Android ist in gleichem Umfang angreifbar, auch nicht jede App verarbeitet die MMS auf gleiche Weise, so dass ein Angreifer sich nicht auf das Gelingen des Angriffs verlassen kann.

Die Manipulation eines Videos zur Ausnutzung der Lücke dürfte nicht gerade trivial sein.