Qualcomm-Chips laden zu Angriffen ein - gleich neun Bugs an der GPU

Zahlreiche Android-Nutzer sind aktuell aufgefordert, möglichst zügig Sicherheits-Updates einzuspielen, die ihnen von den Herstellern bereitgestellt werden. Denn die Qualcomm-Chips, die in den meisten Systemen zu finden sind, bringen massive Schwachstellen mit.

Treiber als Brücke

Sicherheitsforscher bei Google haben die Sicherheitslücken in den Adreno-GPUs entdeckt, die in den Snapdragon-SoCs zum Einsatz kommen. Über die GPU-Treiber können Angreifer hier direkt das komplette Gerät übernehmen, da diese über Kernel-Privilegien verfügen und so sämtliche Schutzmaßnahmen des Betriebssystems umgangen werden können, berichtete das US-Magazin Wired.

Auf der Sicherheitskonferenz Defcon in Las Vegas stellten drei Google-Forscher mehr als neun Schwachstellen vor, die sie in Qualcomms Adreno-GPU entdeckt hatten. Ausgangspunkt der Probleme war dabei eine Software-Suite, die zur Koordination zwischen GPUs und einem Betriebssystem wie Android auf Qualcomm-basierten Telefonen verwendet wird.


Die Ausnutzung dieses Angriffsvektors wird insbesondere dadurch erleichtert, dass Anwendungen auf Android-Handys direkt mit dem Adreno-GPU-Treiber kommunizieren können, "ohne Sandboxing und ohne zusätzliche Berechtigungsprüfungen", wie Xuan Xing, Manager des Android Red Teams Googles, ausführte.

Manuell Updaten

Dies allein ermöglicht Anwendungen nicht, sich zu verselbstständigen, aber es macht GPU-Treiber zu einer Brücke zwischen den regulären Teilen des Betriebssystems und dem Systemkern. Die Forscher sagen, dass die von ihnen aufgedeckten Schwachstellen allesamt Fehler sind, die aus den Feinheiten und komplizierten Verknüpfungen resultieren, die GPU-Treiber zur Koordinierung aller Vorgänge bewältigen müssen.

Um die Schwachstellen auszunutzen, müssten Angreifer zunächst Zugriff auf ein Zielgerät erlangen, indem sie die Opfer beispielsweise dazu verleiten, schädliche Apps zu installieren. Schutz bietet ein Patch, den Qualcomm inzwischen veröffentlicht hat. Bis dieser allerdings über die automatischen Updates auf Android-Geräten landet, kann es etwas dauern. Es ist daher ratsam, manuell eine Software-Aktualisierung anzustoßen.


Siehe auch: