Metaphor Stagefright-Exploit: 20% aller Android-Geräte gefährdet

Stagefright, Android Bug, Android-Lücke Bildquelle: Zimperium
Das Sicherheitsunternehmen Northbit aus Israel hat nun einen praktikablen Exploit für Stagefright gefunden, mit dem die im vergangenen Jahr aufgedeckte Schwachstelle jetzt wieder in den Fokus der Sicherheitsexperten rutscht.
Bislang galt Stagefright zwar als ein potentieller Gefährder für Millionen von ungepatchten Smartphones, bei denen ältere Android-Versionen zum Einsatz kommen, jedoch galt die Übernahme dieser Geräte als verhältnismässig unwahrscheinlich. Laut Northbit hat sich das nun durch einen neuen Weg, den ASLR-Schutzmechanismus (Address Space Layout Randomization) zu umgehen, grundlegend geändert (via ZDNet).

Northbit erlangt dabei den Zugriff auf ein Android-Smartphone in unter 20 Sekunden. Das perfide dabei: Der Nutzer hat fast keine Chance, einem solchen "Metaphor" getauften Angriff zu umgehen. Für den Angriff wird eine manipulierte Video-Datei genutzt, die auf einer Webseite eingebunden ist. Das Video muss dabei nicht einmal gestartet werden, sondern dient lediglich dazu, den Medienserver zum Absturz zu bringen. Nach einem so erzwungenen Neustart setzt Metaphor dann eine Javascript-Datei ein, die alle benötigten Daten für den Zugriff ausspioniert.

Proof-of-Concept-Video

Bei YouTube zeigt Northbit nun den Exploit in einem Proof-of-Concept-Video. Innerhalb von nur 20 Sekunden übernehmen die Sicherheitsforscher dabei ein Nexus 5.



Gefährdung ist hoch

Sicherheit bietet dabei eigentlich ASLR, doch bei älteren Android-Versionen (Android 2.2 bis 4.0) kommt die Technik noch nicht zum Einsatz. Northbit hat aber auch in den Versionen 5.0 und 5.1 eine Lücke entdeckt, mit der sie ihren Video-Hack durchführen können. Das Sicherheitsunternehmen schätzt daher, dass über ein Fünftel aller aktuell genutzten Android-Smartphones und -Tablets mit ihrem Exploit übernommen werden könnten.

Noscript

Northbit hat aber auch noch eine einfache Lösung in petto: durch die Aktivierung von Noscript wird die Kompromitierung des Medienservers verhindert, der Exploit ist dann ein Tiger ohne Zähne.

Mehr dazu: Freude über Stagefright-Patch wird vermiest: Lücke noch immer da Stagefright, Android Bug, Android-Lücke Stagefright, Android Bug, Android-Lücke Zimperium
Diese Nachricht empfehlen
Kommentieren46
Jetzt einen Kommentar schreiben


Alle Kommentare zu dieser News anzeigen
Kommentar abgeben Netiquette beachten!

Jetzt als Amazon Blitzangebot

WinFuture Mobil

WinFuture.mbo QR-Code Auch Unterwegs bestens informiert!
Nachrichten und Kommentare auf
dem Smartphone lesen.

Folgt uns auf Twitter

WinFuture bei Twitter

Interessante Artikel & Testberichte

WinFuture wird gehostet von Artfiles

Tipp einsenden