Googles Project-Zero-Team warnt Android-Nutzer vor einer neuen Schwachstelle. Diese Geräte sind betroffen.
von Claudia Maag 07.10.2019
Googles Project-Zero-Team warnt Nutzer von Android-Smartphones vor einer neuen Zero-Day-Android-Exploit-Schwachstelle. Dies berichtet «Ars Technica» (Englisch). Angreifer nutzen demnach eine Zero-Day-Schwachstelle im mobilen Betriebssystem Android aus, welche ihnen die volle Kontrolle über verschiedene Telefon-Modelle gibt – darunter Pixel-Modelle und Samsung-Geräte.
Es gibt Hinweise, dass die Schwachstelle bereits genutzt wird, so Project-Zero-Mitarbeiterin Maddie Stone in einem Blog-Eintrag. Ursprünglich war das Problem mit dem Dezember-2017-Sicherheits-Update behoben worden. Doch Aufgrund einer Überprüfung des Pixel-2-Quellcodes kommt Stone zum Schluss: Das Gerät sei noch immer anfällig. Im Blog-Post werden einige Geräte-Modelle genannt. Die folgende Liste von gefährdeten Geräten ist «nicht abschliessend»:
- Huawei P20
- Moto Z3
- Oppo A3
- Oreo LG phones
- Google Pixel 1
- Google Pixel 1 XL
- Google Pixel 2
- Google Pixel 2 XL
- Samsung Galaxy S7
- Samsung Galaxy S8
- Samsung Galaxy S9
- Xiaomi A1
- Xiaomi Redmi 5A
- Xiaomi Redmi Note 5
Project Zero gibt Entwicklern in der Regel 90 Tage Zeit, um eine Korrektur vorzunehmen, bevor man Schwachstellenberichte veröffentlicht. In diesem Fall, da es Hinweise gibt, dass die Schwachstelle aktiv genutzt wird, unterlag die Meldung einer 7-Tage-Veröffentlichungs-Deadline.
PCtipp rät: Auch wenn die gemeldete Schwachstelle ernst ist, gibt es keinen Grund zur Panik. Dennoch empfehlen wir, nach einem Update Ausschau zu halten und dieses so schnell wie möglich zu installieren.
Quelle: Zero-Day-Vulnerabilität: Geräte von Google, Samsung, Xiaomi und Oppo betroffen
Galaxy S8, S9, Huawei P20 und mehr betroffen
Android: Zero-Day-Lücke wird aktiv ausgenutzt - Fix kommt
Mindestens 18 Android-Smartphones sind über eine Zero-Day-Sicherheitslücke angreifbar. Laut Google wird der Exploit aktiv genutzt - nun kommt der Fix via Sicherheitsupdate.
Eine neue Sicherheitslücke für Android wird aktuell offenbar aktiv von Angreifern genutzt, um sich Zugriff auf fremde Smartphones zu schaffen. Das hat Sicherheitsforscherin Maddie Stone von Google Project Zero aufgedeckt. Betroffen sind demnach mindestens 18 aktuelle Android-Smartphones, darunter auch vier Pixel-Smartphones von Google selbst. Wir fassen die wichtigsten Informationen zusammen.
Wie funktioniert der Android-Exploit?
Angreifer können die Sicherheitslücke laut Stone auf zwei Arten ausnützen: entweder indem das Opfer eine manipulierte App abseits des Play Store installiert oder in Kombination mit einem zweiten Exploit im Chrome-Browser.
Für den Exploit werde eine eigentlich seit 2017 bekannte Schwachstelle im Linux-Kernel ausgenutzt, die eine Rechteausweiung ermöglicht. Sprich: Angreifer könnten Root-Privilegien auf dem System des Opfers erlangen. Laut Ars Technica wurde der Bug eigentlich auch im Android-Kernel gefixt, aber aus unbekannten Gründen nicht über die Android Sicherheitsupdates verteilt.
Welche Android-Smartphones sind von der Zero-Day-Lücke betroffen?
- Huawei P20
- LG Smartphones mit Android Oreo
- Moto Z3
- Oppo A3
- Pixel 1
- Pixel 1 XL
- Pixel 2
- Pixel 2 XL
- Samsung S7
- Samsung S8
- Samsung S9
- Xiaomi Redmi 5A
- Xiaomi Redmi Note 5
- Xiaomi A1
Welche Angreifer nutzen den Android-Exploit aus?
Google Project Zero hat laut dem Beitrag von der Threat Analysis Group (TAG) von Google sowie externen Quellen Hinweise erhalten, dass der Android-Exploit aktiv von NSO Group genutzt wird. Die in Isreal ansässige Sicherheitsfirma ist auf digitale Überwachungs- und Spionage-Software spezialisiert. Sie ist unter anderem berüchtigt für ihren Späh-Trojaner Pegasus, der unter anderem eine Rolle im Mord am saudischen Journalisten Jamal Khashoggi gespielt haben soll.
Was können betroffene Android-Nutzer tun?
Sie sollten soweit wie möglich auf die Installation von Apps abseits des Google Play Store verzichten. Sollte es unvermeidlich sein, prüfen Sie die Quelle genau auf ihre Vertrauenswürdigkeit.
Wann wird die Android-Sicherheitslücke geschlossen?
Google hat bereits angekündigt, dass das seine Pixel-1- und Pixel-2-Smartphones mit dem Oktober-Sicherheitsupdate einen Fix für die Sicherheitslücke erhalten. Auch alle Android-Partner wurden informiert und ein Patch über den Android Common Kernel bereitgestellt. Wann und ob dieser Patch jedoch für alle betroffenen Smartphones ausgeliefert wird, ist nicht abzusehen.
4.10.2019 von Manuel Medicus
Quelle: Android: Zero-Day-Lücke wird aktiv ausgenutzt - Fix kommt - connect