Nach Stagefright: Die nächste Lücke in Androids Media-Framework

Die unter dem Namen "Stagefright" bekannt gewordene Sicherheitslücke im Multimedia-Framework des Google-Betriebssystems Android sorgte offenbar dafür, dass die fragliche Software etwas genauer unter die Lupe genommen wird. Und schon tauchen Informationen über die nächste Sicherheitslücke auf. Beschrieben wurde diese von Sicherheitsforschern von Trend Micro, die das Problem unter der Kennung CVE-2015-3842 in die Datenbanken aufnahmen. Lokalisiert ist der Fehler in der AudioEffect-Komponente des Multimedia-Frameworks. Auch hier ist es möglich, den Code eines Angreifers in das jeweilige Android-System einzuschleusen.


Ganz so einfach wie bei Stagefright, wo man das Opfer lediglich dazu bringen musste, eine manipulierte Video- oder Bilddatei anzeigen zu lassen, ist es bei dem aktuellen Problem allerdings nicht mehr. Hier bedarf es schon der Installation einer App, um den Schadcode auf das Gerät zu bringen. Etwas erleichtert wird die Sache aber dadurch, dass diese keinerlei Berechtigungen anfordern muss und der aufmerksame Nutzer so quasi keinen Verdacht hegt.

Von der App aus kann dann der Angriff auf die Schwachstelle beginnen. Der hier eingeschleuste Code läuft dann mit den gleichen Rechten wie das ganze Multimedia-Framework - was vor allem für Angreifer von Vorteil ist, die die Kamera oder das Mikrofon eines Smartphones unter ihre Kontrolle bringen wollen. Allerdings ist bisher noch keine Malware in freier Wildbahn gefunden worden, die die Schwachstelle für ihre Zwecke ausnutzt.

Der Fehler ist in quasi allen Android-Versionen seit 2.3 zu finden. Die Sicherheitsforscher haben Google den Angaben zufolge schon Mitte Juni über ihre Entdeckung unterrichtet, so dass inzwischen auch schon ein Patch erarbeitet werden konnte. Dieser ist über das Android Open Source Project (AOSP) verfügbar. Die verschiedenen Geräte-Hersteller werden hier wohl demnächst ebenfalls passende Updates verteilen.