Erst im letzten Jahr hatte die Sicherheitslücke Stagefright bei allen Geräten mit dem Betriebssystem Android von sich reden gemacht. Die Hersteller der Tablets und Smartphones reagierten schnell und versperrten den potentiellen Nutzern der Sicherheitslücke den Weg mit Sicherheitsupdates und Patches. Doch nun ist Stagefright erneut angreifbar. Das haben die Experten von Northbit mit einem aktuellen Exploit bewiesen. Das heißt, dass weltweit erneut mehrere Millionen Android-Geräte angreifbar sind. Der neue Exploit trägt den Namen Metaphor und greift eine noch immer bestehende Lücke in der Multimedia-Bibliothek an.
Wie funktioniert der Exploit Metaphor?
Die eigentliche Schwachstelle ist eine Schutzfunktion namens Adress Space Layout Randomization, kurz auch ASLR genannt. Den Sicherheitsexperten von Northbit ist es auf diese Weise gelungen, sich binnen weniger als einer halben Minute Zugriff auf Smartphones zu verschaffen. Der Exploit wird in eine Videodatei verpackt und wird beim Start des Videos aktiv. Er verursacht einen Speicherüberlauf, der das Betriebssystem zum Absturz bringt, sodass ein Neustart des Tablets oder Handys erforderlich wird. Der Speicherüberlauf kann auf drei Wegen erzeugt werden. Dazu zählen neben Drive-by-Kampagnen auch rechenintensive Werbeanzeigen sowie XSS. Den Zugriff auf die attackierten Geräte erhalten die Hacker dann mit einer speziell präparierten Java-Datei.
Welche Android-Versionen sind angreifbar?
Getestet wurde der Exploit auf allen Versionen von Android. Erfolg hatten die Sicherheitsexperten bei den Versionen 2.2 bis hin zu 4.0. Darüber hinaus können die Versionen Android 5.0 sowie 5.1 mit dem neuen Exploit für Stagefright erfolgreich angegriffen werden. Eine komplette Absicherung gegen die Ausnutzung der Sicherheitslücke ist derzeit nicht möglich. Experten empfehlen deshalb vorerst die Aktivierung von NoScript, was zumindest einen minimalen Schutz bewirkt. Außerdem bleibt zu hoffen, dass die Hersteller ebenso schnell mit Patches und Sicherheitsupdates reagieren, wie das beim Auftauchen der ersten Hinweise auf Stagefright der Fall war.
Quelle: ZDNet
About Author
Weitere Meldungen
Bundesnetzagentur verordnet Internetanschluss
iPhone nicht im Reisbad trocknen
Digitalisierung in Deutschland: Wie steht es mit WLAN in Zügen?