Trend Micro entdeckt Lücke: ANDROID-21335999
Weitere Android-Sicherheitslücke: DoS-Attacken legen Geräte lahm
Security-Experten von Trend Micro haben nach eigenen Angaben eine weitere Sicherheitslücke im Android-Media-Server-Service entdeckt: Über speziell präparierte MKV-Dateien können Cyberkriminelle Denial-of-Service- (DoS)-Angriffe ausführen. Die davon betroffenen Geräte versuchen, neu zu starten, und brauchen den verfügbaren Batteriestrom auf. Eine noch bedrohlichere Variante, die Lücke auszunutzen, besteht darin, eine bösartige App bei jedem Systemstart für den Autostart-Prozess zu registrieren. Dadurch lässt sich das ordnungsgemäße Hochfahren verhindern, die infizierten Geräte werden unbrauchbar.
Die Trend-Micro-Forscher haben die Sicherheitslücke nach eigenen Angaben bereits am 19. Mai an Google gemeldet, die das Android Security Team seit dem 21. Mai unter der Bezeichnung ANDROID-21335999 und seit dem 22. Mai zusätzlich unter der Bezeichnung CVE-2015-3823 führt. Das Android-Engineering-Team hat am 31. Juli eine Sicherheitsaktualisierung veröffentlicht. Jetzt liege es an den Geräteherstellern, das Update ihren Kunden zur Verfügung zu stellen, so Trend Micro.
Wie bei der bekannten Sicherheitslücke Stagefright sind im aktuellen Fall rund neun von zehn Android-Geräten weltweit betroffen, auf denen die Android-Versionen 4.0.1 (Jelly Bean) bis 5.1.1 (Lollipop) installiert sind. Um sich zu schützen, müssen Besitzer von Android-Geräten sehr vorsichtig sein und dürfen auf keinen Fall unbekannte Web-Adressen anklicken oder Apps zweifelhafter Herkunft – zum Beispiel aus Android-Stores von Drittanbietern – installieren.
Denn die Sicherheitslücke lässt sich über beide Wege ausnutzen. Dies habe Trend Micro in einem Proof-of-Concept gezeigt. Der schwache Trost: Im Augenblick hat Trend Micro noch keine bösartigen Apps oder Websites entdeckt, die diese Lücke ausnutzen.
Allerdings sei es nur eine Frage der Zeit, bis dies der Fall sein werde: Die riesige Zahl der möglichen Opfer sei für Cyberkriminelle einfach zu verlockend.
Weitere Informationen zur beschriebenen Sicherheitslücke sowie zum erwähnten Proof-of-Concept sind im deutschsprachigen Trend Micro-Blog erhältlich.
Sicherheitslücke „Stagefright“ lässt sich nicht nur über MMS-Nachrichten ausnutzen
Car IT: Hilfe, mein Auto sendet!
Stagefright-Lücke in Android: Was tun?
Lesen Sie mehr zum Thema
