Android: Riskante Lücke lässt Malware einfach über Bilder rein

Nutzer von Android-Smartphones sollten einmal mehr schnellstmöglich ihre Update-Routinen anwerfen und die neuesten Patches installieren - wenn sie diese denn zeitnah bereitgestellt bekommen. Denn Google hat in der jüngsten Aktualisierungsrunde Schwachstellen ausgemerzt, die große Probleme verursachen können.
Infografik: Die Evolution von Android
Besonders fällt dabei eine Schwachstelle im Multimedia-Framework der Plattform ins Gewicht. Der Exploit lässt sich hier einfach in einer PNG-Datei verstecken. Ruft der Nutzer nun beispielsweise eine Webseite oder E-Mail auf, in die ein solches Bild eingebettet ist, oder wird es in einem Messenger zugestellt, kann sich Malware-Code ins System schleusen und aktiv werden.

Das Problem besteht hier dann nicht nur darin, dass der Infektionsweg denkbar einfach ist. Wie aus der Problembeschreibung des Security-Teams bei Google hervorgeht, kann der eingeschleuste Schadcode auch auf weitergehende Rechte auf dem System zurückgreifen und wäre damit vom User selbst nicht problemlos zu entfernen. Glücklicherweise gebe es aber aktuell noch keine bekannten Fälle, wo der Bug in der Praxis ausgenutzt wird.

Suche ist lukrativ

Das könnte sich nun, da Kriminelle wissen, wo sie zu suchen haben, aber bald ändern. Und unter Android ist es natürlich besonders lukrativ, nach gerade gepatchten Schwachstellen zu suchen, da die meisten Nutzer die entsprechenden Aktualisierungen ohnehin mit erheblicher Verzögerung oder teils auch nie bereitgestellt bekommen.

Mit dem aktuellen Patch-Rollout werden auch verschiedene andere Schwachstellen in der Android-Plattform geschlossen. Diese finden sich unter anderem in einigen Kernel-Komponenten wieder. Aber auch Bugs in Komponenten von externen Zulieferern, wie sie beispielsweise Qualcomm und Nvidia zur Android-Plattform beisteuern, sind den Angaben zufolge behoben worden. Wenn die jetzt bereitgestellten Updates installiert sind, liegt das Patch-Level bei 2019-02-05.

Siehe auch: Android: Google verpflichtet Hersteller jetzt zu Sicherheits-Updates