Android-Lücke: Lockscreen lässt sich in unter einer Minute umgehen

Google hat mit dem Sicherheitsupdate für Android-Smartphones für den November 2022 eine schwerwiegende Lücke beseitigt, bei der der Sperrbildschirm der meisten Geräte ohne spezielle Software oder Werkzeuge in unter einer Minute umgangen werden kann. Das Resultat: voller Zugriff auf alle Inhalte auf dem jeweiligen Gerät. Die schwere Schwachstelle in Android wurde von David Schütz entdeckt. Mit ihr kann man im Grunde jedes Smartphone der Google Pixel-Serie und viele andere Android-basierte Geräte ohne großen Aufwand entsperren - und so zum Beispiel auf einem gestohlenen Smartphone sämtliche Daten einsehen oder das Gerät zurücksetzen, um es dann weiter zu Geld zu machen.

Man braucht nur eine neue SIM mit PIN- und PUK-Schutz

Die Methode ist überraschend simpel: der Angreifer muss das jeweilige Gerät lediglich in den Händen halten und eine eigene SIM-Karte mit PIN-Sperre einlegen. Im Anschluss muss dann der SIM-PIN dreimal falsch eingegeben werden, bevor dann der mit der "neuen" SIM erhaltene PUK-Code eingegeben wird. Im Anschluss kann der Angreifer dann selbst eine neue PIN für die SIM vergeben. Das war es auch schon, denn dann verschwindet der Android-seitige Lockscreen des Geräts und der Zugriff ist frei.

Auf YouTube ansehen
Die Ursache der Schwachstelle liegt im Umgang von Android mit den verschiedenen Ebenen von Sicherheitsmaßnahmen, wobei das Betriebssystem in dieser speziellen Situation dafür sorgt, dass bei dem Vorgehen nach dem von Schütz gezeigten Muster alle weiteren Sicherheits-Features wie etwa die Abfrage eines Fingerabdrucks oder eine Gesichtserkennung einfach ausgesetzt werden.

Google patcht Lücke, zahlt 70.000 Dollar Bug Bounty aus

Ausführliche Informationen und weitere Details zu den Voraussetzungen für eine erfolgreiche Durchführung der Attacke hält Schütz in seinem Blog bereit. Unter anderem funktioniert der Angriff nur dann, wenn das Smartphone seit dem letzten Einschalten bereits einmal vom rechtmäßigen Nutzer entsperrt und danach wieder gesperrt wurde.

Google hat das Problem laut Schütz bereits bestätigt und ihm eine Bug-Bounty in Höhe von 70.000 US-Dollar ausgezahlt. Der Internetkonzern hat einen Fix für die Schwachstelle bereits mit dem jüngsten monatlichen Patch-Paket für Android veröffentlicht. Der Code des Android Open Source Projects wurde zudem ebenfalls aktualisiert, um die Lücke zu schließen. Die entsprechenden Fehlerbehebungen sind also bereits in den AOSP-Branches für Android 13, 12, 11 und 10 enthalten.

Weil die Schwachstelle nicht nur bei Google-eigenen Smartphones besteht, dürften auch die meisten anderen Anbieter von verwundbaren Android-Geräten eine Aktualisierung in Form von Updates vornehmen, um die Lücke zu schließen. Die Lücke macht deutlich, dass es durchaus wichtig ist, immer die aktuellsten Patches für Android zu installieren. Siehe auch: