QualPwn: Angreifer können Android durch Qualcomm-Chips knacken

Seit dem Bekanntwerden der Sicherheitslücken des Meltdown- und Spectre-Komplexes scheinen sich zunehmend Security-Experten mit der Chipebene auseinanderzusetzen. So sind nun auch Bugs bekannt geworden, die Qualcomm in seinen SoCs verbockt hat und die man nun nachträglich mit Patches auf verschiedenen Ebenen aus der Welt schaffen muss. Entdeckt und beschrieben wurden die beiden Schwachstellen unter dem Namen "QualPwn" von der Security-Abteilung beim chinesischen Tech-Konzern Tencent. Wie diese anmerkten, sind die Schachstellen vor allem dadurch ein Problem, dass Angreifer ohne Zutun des Nutzers die betroffenen Geräte knacken können. Es ist also nicht nötig, eine Malware in Apps oder Nachrichten zu verstecken und zu hoffen, dass unachtsame Nutzer sie auf ihrem Smartphone zum Laufen bringen.

Allerdings sind auch keine direkten Angriffe über das offene Internet möglich - soweit die gute Nachricht. Es genügt aber, wenn ein Angreifer sich im gleichen WLAN befindet. Insbesondere an Orten, an denen man User leicht in offene Funknetze locken kann, weil keine Alternative bereitsteht, können Kriminelle also erfolgreich sein. Und da die Attacken auf sehr tiefer Ebene stattfinden, können sie direkt auf den Android-Kernel durchschlagen und die darüberliegenden Sicherungssysteme aushebeln.

Patches stehen bereit

Eine der beiden Sicherheitslücken findet sich im Zusammenspiel zwischen Android-Kernel und der WLAN-Hardware wieder. Diese lässt sich durch einen normalen Patch des Betriebssystems beheben. Im zweiten Fall liegt der Bug allerdings in der Firmware des Mobilfunkmodems verborgen und es ist ein Firmware-Update notwendig.

Glücklicherweise müssen sich Nutzer mit Geräten, die direkt von Google unterstützt werden, wenig Sorgen machen. Wer die aktuellsten Sicherheits-Updates installiert, wird auch vor einem Missbrauch der QualPwn-Lücken geschützt. Alle anderen müssen sich noch etwas gedulden, bis auch ihr Hardware-Hersteller die Patches ausliefert.

Siehe auch: Android Security Bulletin: Patch für August 2019 wurde veröffentlicht