MMS-Schwachstelle betrifft alle Samsung-Smartphones seit 2014

Ein Sicherheitsforscher hat eine Lücke in Android-Smartphones von Sam­sung aufgedeckt, die seit 2014 ungepatcht geblieben war, erst seit Mai lie­fert der Konzern ein entsprechendes Update. Das Einfallstor macht An­griffe über MMS auch ohne Nutzerinteraktion möglich.

Über MMS können Angreifer jedes Samsung-Smartphone seit 2014 angreifen

Wenn eine Sicherheitslücke über mehrere Jahre ungepatcht bleibt, ist das natürlich ein gro­ßes Problem. Wenn diese Lücke dann auch noch alle Geräte eines Herstellers betrifft, dann wird daraus ein waschechter Sicherheitsskandal. Genau auf eine solche Lücke weist jetzt der Sicherheitsforscher Mateusz Jurczyk, Mitglied des Google Projekts Zero-Team, laut Heise in einer sehr ausführlichen Analyse hin. Er sieht davon alle Android-Smartphones von Samsung betroffen, die seit Ende 2014 vorgestellt wurden. Infografik: Die Evolution von Android Seinen Ursprung nimmt der Angriffsvektor laut dem Forscher im Bildformat QMAGE (.qmg), das von Samsung-Geräten seit der zweiten Jahreshälfte 2014 unterstützt wird. Der Fehler liegt in der Art, wie die von dem Konzern angepasste Android-Version dieses Bildformat verarbeitet. Zur Ausnutzung können Angreifer eine entsprechend präparierte MMS nutzen, die Remote Code Execution - also das Ausführen von Schadcode aus der Ferne - ermöglicht. Besonders problematisch: Eine Interaktion des Nutzers ist laut Jurczyk dafür nicht nötig.

Allerdings: Der Angriff wird dadurch erschwert, dass für eine erfolgreiche Durchführung im Durchschnitt 100 MMS zugestellt werden müssen, dieses liegt am "spezifischen Speicherlay­out, das vom System zufällig ausgewählt wird", so Jurczyk. Auch zur Tarnung der Zustellung der vielen Nachrichten gibt es Wege: "Ich habe Möglichkeiten gefunden, MMS-Nachrichten vollständig zu verarbeiten, ohne einen Benachrichtigungston unter Android auszulösen, sodass möglicherweise vollständige Stealth-Angriffe möglich sind", so Jurczyk weiter.

Patch seit Mai, Lösung ohne Patch

Unter der CVE-Nummer CVE-2020-8899 wurde der Schwachstelle die höchste Einstufung "criti­cal" zugewiesen. Zu einer Ausnutzung in freier Wildbahn ist bisher nichts bekannt. Samsung hat das Problem mit seinem Sicherheitsupdate im Mai behoben, allerdings gibt der Konzern nichts Genaues an. Jurczyk liefert aber auch unabhängig von Updates einen Tipp, wie das Problem auf allen Geräten gelöst werden kann: "Eine einfache Möglichkeit, Angreifer mithilfe von Exploits, die speziell über MMS bereitgestellt werden, abzuwehren, besteht darin, die Option "Auto Retrieve" (MMS automatisch herunterladen) für Multimedia-Nachrichten in der Nachrichten-App zu deaktivieren."