zurück zum Artikel

Jetzt Android-Geräte auf Stagefright-Lücken testen!

Stagefright-Test

Mit einer kostenlosen App kann man überprüfen, ob die eigenen Android-Geräte über die Stagefright-Lücken angreifbar sind.

Ob das eigene Android-Gerät anfällig für die kritischen Stagefright-Schwachstellen [1] ist, können Nutzer nun mit der kostenlosen Stagefright Detector App [2] überprüfen. Die App klopft das Android-System auf insgesamt sieben Sicherheitslücken ab, die in dem Multimedia-Framework Stagefright klaffen können. Die Chancen, dass der Detector mehrere Treffer landet, sind groß: Nur wenige Hersteller haben die schützenden Security-Patches bereits an ihre Kunden ausgeliefert.

Die App stammt von der Sicherheitsfirma Zimperium, deren Mitarbeiter Joshua Drake die Lücken entdeckt und auch die Patches entwickelt hat. Drake stellte seine Erkenntnisse am gestrigen Mittwoch auf der Hackerkonferenz Black Hat in Las Vegas vor; zahlreiche Details sind allerdings bereits im Laufe der vergangenen zwei Wochen durchgesickert. Das Stagefright-Framework ist seit der im Jahr 2010 veröffentlichten Android-Version 2.3 (Gingerbread) allgegenwärtig. Sowohl Android als auch Apps nutzen es zum Abspielen von Multimedia-Dateien.

Stagefright-Angriff: Zimperium verschickt eine MMS und hat auf dem Smartphone des Empfängers anschließend root-Rechte.

In den Einstellungen der Nachrichten-App (seit Android 4.4 "Hangouts") kann man den automatischen Abruf von MMS deaktivieren.

Da Stagefright vielerorts zum Einsatz kommt, gibt es auch zahlreiche Wege, die Lücken auszunutzen [3]: etwa durch MMS-Nachrichten, Webseiten, E-Mails, USB, Bluetooth und NFC. Wahrscheinlich gelingt ein Angriff auch über Messaging-Apps wie WhatsApp oder Facebook Messenger. Der gefährlichste Angriffsvektor ist MMS, da ein Angreifer das Smartphone seines Opfers in spe durch das Zusenden einer MMS-Nachricht kompromittieren kann – ohne dass sein Opfer die Nachricht öffnet oder auch nur etwas davon mitbekommt.

Laut Zimperium läuft der MMS-Client bei etwa jedem zweiten Android-Smartphone mit Systemrechten, der Angriffscode kann sich also ungehindert austoben. Aus diesem Grund sollte man in den Android-Einstellungen das automatisch Abrufen von MMS abschalten, wenn der Stagefright Detector anschlägt. Neben der Detector-App hat Zimperium auch noch eine Reihe von Video-Dateien herausgegeben [4], welche die einzelnen Stagefright-Lücken ausnutzen. Sie bringen den Mediaserver von Android zum Absturz, was man aber nur im Debugger nachvollziehen kann. (rei [5])


URL dieses Artikels:
http://www.heise.de/-2773801

Links in diesem Artikel:
[1] https://www.heise.de/meldung/Stagefright-Android-Smartphones-ueber-Kurznachrichten-angreifbar-2763764.html
[2] http://www.heise.de/download/stagefright-detector-app-1196717.html
[3] https://twitter.com/ZIMPERIUM/status/629057085544660992
[4] https://blog.zimperium.com/stagefright-vulnerability-details-stagefright-detector-tool-released/
[5] mailto:rei@heise.de