Probleme mit nötigen Android-Patches - Stagefright ist wieder da

Gleich mehrere äußerst schwerwiegende Fehler sollen eigentlich vom Android September-Sicherheitspatch behoben werden. Google hat das Update schon am Dienstag gestartet, doch noch immer werden selbst die eigenen Nexus-Geräte nicht bedient. Was die Auslieferungsprobleme bei den eigenen Google-Smartphones verzögert ist dabei nicht klar. Etliche Besitzer des Nexus 5 melden, dass kein OTA-Update (Over-The-Air) angezeigt wird und sie somit die nötigen Patches nicht beziehen können - denn eine manuelle Installation ist derzeit nicht vorgesehen. Laut Google ist das September-Update dieses Mal dreigeteilt. Teil 1 und Teil 2 wurden bereits in der ersten September-Woche gestartet. Teil 3 enthält wiederrum Fehlerbereinigungen für die ersten beiden Teile. Die Verteilung an die Geräte-Hersteller läuft, sodass diese hoffentlich schnell die Sicherheitslücken schließen können. Die Anzahl der mittelschweren und schweren Sicherheitslücken steigt dramatisch

Alte Bekannte

Denn mit den behobenen Schwachstellen ist nicht zu spaßen. Mit dabei ist ein alter Bekannter, der die Sicherheitsprobleme der Stagefright-Bug-Familie wiederaufleben lässt. Behoben wird die Lücke mit CVE-2016-3862. Manipulierte jpeg-Images können dabei über Gmail oder Google Talk Schadcode im Huckepack mitbringen. Der Empfänger muss diese Bilder nicht einmal selbst öffnen, um schon ein Opfer dieser empfindlichen Sicherheitslücke zu werden.

Die zweite kritische Sicherheitslücke wird mit CVE-2016-3861 gefixt: Sicherheitsforscher des Project Zero Security Teams von Google haben die Lücke in der LibUtils-Bibliothek entdeckt und einen Proof-of-Concept Exploit Code veröffentlicht. Die Lücke taucht gleich mehrfach auf, da der angreifbare Bereich laut Sicherheitsforscher Mark Brand an mehreren Stellen zum Einsatz kommt.

Ungepatcht ein Problem

Das Problem mit diesen beiden Schwachstellen ist nun laut dem Online-Magazin Arstechnica vor allem, dass es für Angreifer ein Kinderspiel ist, diese Lücken auszunutzen. Sie sind hervorragend dokumentiert und ohne die Patches vom Nutzer nicht aufzuhalten. Dennoch werden die Sicherheitslücken bei einem Großteil der Geräte erst einmal ungepatcht bleiben, da Google noch immer keine Lösung für rasche Aktualisierungen auf allen mit Android laufenden Smartphones und Tablets bietet - und auch Android 7 wird dieses Problem nicht beheben.

Stagefright Detector App: Überprüfung für die Android-Schwachstelle