Metaphor Stagefright-Exploit:
20% aller Android-Geräte gefährdet

Das Sicherheitsunternehmen Northbit aus Israel hat nun einen praktikablen Exploit für Stagefright gefunden, mit dem die im vergangenen Jahr aufgedeckte Schwachstelle jetzt wieder in den Fokus der Sicherheitsexperten rutscht. Bislang galt Stagefright zwar als ein potentieller Gefährder für Millionen von ungepatchten Smartphones, bei denen ältere Android-Versionen zum Einsatz kommen, jedoch galt die Übernahme dieser Geräte als verhältnismässig unwahrscheinlich. Laut Northbit hat sich das nun durch einen neuen Weg, den ASLR-Schutzmechanismus (Address Space Layout Randomization) zu umgehen, grundlegend geändert (via ZDNet).

Northbit erlangt dabei den Zugriff auf ein Android-Smartphone in unter 20 Sekunden. Das perfide dabei: Der Nutzer hat fast keine Chance, einem solchen "Metaphor" getauften Angriff zu umgehen. Für den Angriff wird eine manipulierte Video-Datei genutzt, die auf einer Webseite eingebunden ist. Das Video muss dabei nicht einmal gestartet werden, sondern dient lediglich dazu, den Medienserver zum Absturz zu bringen. Nach einem so erzwungenen Neustart setzt Metaphor dann eine Javascript-Datei ein, die alle benötigten Daten für den Zugriff ausspioniert.

Proof-of-Concept-Video

Bei YouTube zeigt Northbit nun den Exploit in einem Proof-of-Concept-Video. Innerhalb von nur 20 Sekunden übernehmen die Sicherheitsforscher dabei ein Nexus 5.

Auf YouTube ansehen

Gefährdung ist hoch

Sicherheit bietet dabei eigentlich ASLR, doch bei älteren Android-Versionen (Android 2.2 bis 4.0) kommt die Technik noch nicht zum Einsatz. Northbit hat aber auch in den Versionen 5.0 und 5.1 eine Lücke entdeckt, mit der sie ihren Video-Hack durchführen können. Das Sicherheitsunternehmen schätzt daher, dass über ein Fünftel aller aktuell genutzten Android-Smartphones und -Tablets mit ihrem Exploit übernommen werden könnten.

Noscript

Northbit hat aber auch noch eine einfache Lösung in petto: durch die Aktivierung von Noscript wird die Kompromitierung des Medienservers verhindert, der Exploit ist dann ein Tiger ohne Zähne.

Mehr dazu: Freude über Stagefright-Patch wird vermiest: Lücke noch immer da