Android

Google veröffentlicht unplanmäßigen Android-Patch und noch einmal wird Stagefright Thema

19. März 2016, 18:28

5
Kommentare
pixabay

Google hat mit einem unplanmäßigen Android-Patch eine Sicherheitslücke in Android, mit der sich Angreifer Root-Rechte erschleichen können gefixt. Derweil wurde wieder ein weiterer Stagefright-Exploit bekannt.

Google hat einen neuen Android-Patch veröffentlicht, welcher eine Schwachstelle, die es einem Rooting-Tool erlaubte, sich Administrator-Rechte zu erschleichen und beliebigen Code auszuführen, fixt. Laut dem Android Security Advisory—2016-03-18 sind alle Android-Geräte betroffen, auf denen der Linux-Kernel bis einschließlich Version 3.14 läuft. Kernel ab Release 3.18 seien gegen diesen Angriff immun.

Das Update wird bereits seit dem 16. März an Gerätepartner verteilt. Ein Nexus-Geräte Update ist bereits in Arbeit und sollen in den kommenden Tagen erscheinen.

Und wieder eine neue Stagefright Lücke

Die Sicherheitsfirma Northbit hat eine neue Methode beschrieben, eine Lücke in der Android-Multimedia-Bibliothek "Stagefright" auszunutzen. Betroffen sind diesmal nicht nur ältere Geräte, auf denen Android 2.0 bis 4.0 laufen, sondern auch die neueren Versionen 5.0 und 5.1. Wobei letztere sollten laut Google besser vor Angriffen geschützt sein, weil sie ASLR (Address Space Layout Randomization, also Speicherverwürfelung) nutzen, um diese Art von Angriff zu erschweren.

Der "Metaphor" genannten Exploit hebelt aber auch ASLR aus. Dieser liefert mit Hilfe einer präparierten Webseite eine Videodatei an das Android-Gerät aus. Dies passiert entweder durch XSS auf einer vermeintlich vertrauenswürdigen Seite, durch eine selbst erstellte Angriffsseite, innerhalb einer Werbeanzeige oder sogar in Form eines Drive-By, das beim Einbuchen in ein ungesichertes WLANs ein Pop-Up anzeigt.

Das Video bringt dann die Stagefright-Komponente zum Absturz und es wird die im Hintergrund wartete Javascript-Datei auf der Webseite ausgeführt, um dann Informationen über das Gerät zu sammeln. Konkret geht es darum zu ermitteln, in welchen Speicherbereich das Betriebssystem die Komponenten libicui8n.so und libc.so lädt.



Danach muss der Server nur noch das auf das spezielle Gerät zugeschnittenes Video schicken. Dieses muss der Nutzer nicht einmal abspielen ­­­- allein das "Parsing" der Datei durch den Android-Mediaserver genügt bereits für einen erfolgreichen Angriff.


Tags:#Stagefright #Android

Autor schreiben




Kurze URL:


Bewertung: 2.0/5 (13 Stimmen)


Das könnte Dich auch interessieren:


Ähnliche News:
Google-KI: Gemini sagt Nutzer, er solle "bitte sterben"
Cloud: Schwarz Gruppe kooperiert umfassend mit Google
Ab Android 15: Google soll Virtual Machine verpflichtend machen
Piraterie: Google soll über 10 Milliarden Suchergebnisse löschen
Googles Kinderkonten erhalten eine digitale Geldbörse
Google soll in Russland 2 Sextillionen Rubel Strafe zahlen
Google Fotos kennzeichnet KI-bearbeitete Bilder
Google Kalender bekommt ein neues Design
Google schaltet kleine Suchbox ab
Google zeigt Bitcoin-Preis in der Suche nicht mehr an


Weitere News:
KI-Klage der New York Times: OpenAI löscht versehentlich Beweise
7-Zip-Lücke lässt Angreifer Schadcode ausführen
Whatsapp kann Sprachnachrichten transkribieren
Tesla mit höchster Rate tödlicher Unfälle
Valve: Steam ändert massiv den Umgang mit Season Pass und DLC
aleX fotografiert: Ein Wintermärchen am Obertrumer See
Palo Alto Networks: Rund 2.000 Firewalls von Hackern infiltriert
Lästiger App-Bug: Update und Deinstallation unter Windows 10 nicht möglich
Knapp vor 100.000 Dollar: Bitcoin weiter auf Rekordjagd
Microsoft: Flight Simulator 2024 wird "Größtenteils negativ" bewertet


Einen Kommentar schreiben

Du willst nicht als "Gast" schreiben? Logg Dich Hier ein.

Code:

Code neuladen

Kommentare
(5)

Bitte bleibe sachlich und fair in deinen Äußerungen. Sollte dein Kommentar nicht sofort erscheinen, ist er in der Warteschlange gelandet und wird meist zeitnah freigeschaltet.



Kommentare:

Du hast bereits für diesen Kommentar abgestimmt...

;-)


© by Ress Design Group, 2001 - 2024

Top