MMS-Schwachstelle betrifft alle Samsung-Smartphones seit 2014

Sicherheit, Sicherheitslücke, Angriff, Security, Exploit, Bombe Bildquelle: Pixabay
Ein Sicherheitsforscher hat eine Lücke in Android-Smartphones von Sam­sung aufgedeckt, die seit 2014 ungepatcht geblieben war, erst seit Mai lie­fert der Konzern ein entsprechendes Update. Das Einfallstor macht An­griffe über MMS auch ohne Nutzerinteraktion möglich.

Über MMS können Angreifer jedes Samsung-Smartphone seit 2014 angreifen

Wenn eine Sicherheitslücke über mehrere Jahre ungepatcht bleibt, ist das natürlich ein gro­ßes Problem. Wenn diese Lücke dann auch noch alle Geräte eines Herstellers betrifft, dann wird daraus ein waschechter Sicherheitsskandal. Genau auf eine solche Lücke weist jetzt der Sicherheitsforscher Mateusz Jurczyk, Mitglied des Google Projekts Zero-Team, laut Heise in einer sehr ausführlichen Analyse hin. Er sieht davon alle Android-Smartphones von Samsung betroffen, die seit Ende 2014 vorgestellt wurden. Infografik: Die Evolution von AndroidDie Evolution von Android Seinen Ursprung nimmt der Angriffsvektor laut dem Forscher im Bildformat QMAGE (.qmg), das von Samsung-Geräten seit der zweiten Jahreshälfte 2014 unterstützt wird. Der Fehler liegt in der Art, wie die von dem Konzern angepasste Android-Version dieses Bildformat verarbeitet. Zur Ausnutzung können Angreifer eine entsprechend präparierte MMS nutzen, die Remote Code Execution - also das Ausführen von Schadcode aus der Ferne - ermöglicht. Besonders problematisch: Eine Interaktion des Nutzers ist laut Jurczyk dafür nicht nötig.

Allerdings: Der Angriff wird dadurch erschwert, dass für eine erfolgreiche Durchführung im Durchschnitt 100 MMS zugestellt werden müssen, dieses liegt am "spezifischen Speicherlay­out, das vom System zufällig ausgewählt wird", so Jurczyk. Auch zur Tarnung der Zustellung der vielen Nachrichten gibt es Wege: "Ich habe Möglichkeiten gefunden, MMS-Nachrichten vollständig zu verarbeiten, ohne einen Benachrichtigungston unter Android auszulösen, sodass möglicherweise vollständige Stealth-Angriffe möglich sind", so Jurczyk weiter.

Patch seit Mai, Lösung ohne Patch

Unter der CVE-Nummer CVE-2020-8899 wurde der Schwachstelle die höchste Einstufung "criti­cal" zugewiesen. Zu einer Ausnutzung in freier Wildbahn ist bisher nichts bekannt. Samsung hat das Problem mit seinem Sicherheitsupdate im Mai behoben, allerdings gibt der Konzern nichts Genaues an. Jurczyk liefert aber auch unabhängig von Updates einen Tipp, wie das Problem auf allen Geräten gelöst werden kann: "Eine einfache Möglichkeit, Angreifer mithilfe von Exploits, die speziell über MMS bereitgestellt werden, abzuwehren, besteht darin, die Option "Auto Retrieve" (MMS automatisch herunterladen) für Multimedia-Nachrichten in der Nachrichten-App zu deaktivieren." Sicherheit, Sicherheitslücke, Angriff, Security, Exploit, Bombe Sicherheit, Sicherheitslücke, Angriff, Security, Exploit, Bombe Pixabay
Mehr zum Thema: Android
Diese Nachricht empfehlen
Kommentieren3
Jetzt einen Kommentar schreiben


Alle Kommentare zu dieser News anzeigen
Kommentar abgeben Netiquette beachten!
Einloggen

Jetzt als Amazon Blitzangebot

Ab 07:25 Uhr Mini PC Upgrade U500-H Erweiterbarer RAM 8 GB DDR3L 128 GB SSD Intel Core i3-5005U-Prozessor Unterstützt Windows 10 Pro, Linux, Chromium OS mit USB-C/HDMI/Mini-DP-Anschluss, 3USB 3.0, 2 * EthernetMini PC Upgrade U500-H Erweiterbarer RAM 8 GB DDR3L 128 GB SSD Intel Core i3-5005U-Prozessor Unterstützt Windows 10 Pro, Linux, Chromium OS mit USB-C/HDMI/Mini-DP-Anschluss, 3USB 3.0, 2 * Ethernet
Original Amazon-Preis
139,99
Im Preisvergleich ab
?
Blitzangebot-Preis
118,99
Ersparnis zu Amazon 15% oder 21

Tipp einsenden