Die US-Sicherheitsfirma Core Security hat eine Schwachstelle in Googles Mobilbetriebssystem Android entdeckt. Der Fehler steckt einem Advisory zufolge in der Implementierung von WiFi Direct, einer WLAN-Technik, die einen direkten Datenaustausch zwischen zwei Endgeräten wie beispielsweise Smartphones, Kameras und Druckern ermöglicht. Ein Angreifer könnte mithilfe eines speziell gestalten Probe Response Frame einen Absturz des Dalvik-Subsystems und damit einen Neustart des Geräts auslösen.
Nach Unternehmensangaben steckt der Bug in Android 4.1.2, 4.2.2 und 4.4.4. Getestet wurde er unter anderem mit dem Nexus 4 und Nexus 5 von Google sowie dem D806 von LG, dem SM-T310 von Samsung und Motorolas Razr HD. Andere Geräte seien wahrscheinlich auch betroffen, so Core Security weiter. In Android 5.0.1 und 5.0.2 hat Google das Problem allerdings behoben.
Google wurde dem Advisory zufolge schon im September über die Anfälligkeit informiert. Danach bekräftige das Android-Security-Team mehrfach, zuletzt am 20. Januar, es gebe keinen Zeitplan für die Entwicklung eines Patches, da Google das von der Schwachstelle ausgehende Risiko als gering einstufe. Daraufhin ging Core Security wie vorher gegenüber Google angekündigt nun mit den Details sowie Beispielcode für einen Exploit an die Öffentlichkeit.
Im Gespräch mit Threatpost bestätigte Jon Oberheide, Gründer des Sicherheitsunternehmens Duo Security, dass sich der Fehler tatsächlich nur unter bestimmten Voraussetzungen ausnutzen lässt. Ein anfälliges Smartphone oder Tablet müsse genau in dem Moment des Angriffs aktiv nach einem anderen WiFi-Direct-Gerät suchen. Um die manipulierten Daten senden zu können, müsse sich der Angreifer zudem in unmittelbarer Nähe seines Opfers aufhalten. Die einzige Folge sei außerdem ein Neustart.
Googles Project Zero hatte zuletzt ebenfalls mehrfach Sicherheitslücken in Produkten anderer Anbieter publik gemacht, nachdem es ihnen nicht gelungen war, in einem von Google vorgegeben Zeitrahmen von 90 Tagen einen Fix zu bereitzustellen. Microsoft kritisierte Googles Vorgehen scharf, weil es Details zu einer Windows-Lücke zwei Tage vor Microsofts Januar-Patchday veröffentlicht hatte – obwohl ihm bekannt war, dass Microsoft die Lücke zu diesem Termin schließen wird.
Zudem hatte Google am Wochenende bekräftigt, dass es keine Sicherheitsupdates mehr für die Browserkomponente WebView unter Android 4.3 und früher entwickelt. Da WebView nicht nur im namenlosen Android-Browser steckt, sondern auch von allen anderen Apps genutzt wird, die nicht über eine eigene Browsertechnik verfügen, ist nahezu jegliche Internetnutzung auf betroffenen Geräten mit einem Sicherheitsrisiko verbunden. Laut Googles eigener Statistik läuft Android 4.3 und früher derzeit auf rund 60 Prozent aller Geräte, die sich mit Googles Play Store verbinden.
Tipp: Sind Sie ein Android-Kenner? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de
Neueste Kommentare
8 Kommentare zu Sicherheitslücke in Android-Implementierung von WiFi Direct ermöglicht DoS-Angriffe
Kommentar hinzufügenVielen Dank für Ihren Kommentar.
Ihr Kommentar wurde gespeichert und wartet auf Moderation.
90 Tage – gilt für alle, gell Google? ;-)
Warst Du es nicht, der immer wieder darauf hingewiesen hat, dass bei bestimmten Lücken in iOS, so viele Dinge zusammenkommen müssen, um eine Gefahr für die iPhone zu sein? ;)
Wenn Du anständig gelesen hättest, dann wüsstest Du, dass keinerlei Gefahr droht, sondern nur ein ärgerlicher Neustart!
Aber kaum das Wort Google in einem Kommentar gelesen, und schon mit Schaum vor dem Mund am hetzen. ;)
…das stimmt zwar, aber es gibt dennoch einen kleinen Unterschied: Apple würde die Lücke (weil schon sehr veröffentlicht) trotzdem schließen. Google setzt sich mit dem fetten A…. drauf.
Du weißt aber schon, dass es nicht nur die alleinige Schuld von Google ist, wenn da Lücken vorhanden sind?
Schließlich müssen Provider und Hersteller ihren ganzen Kram auch noch angleichen und testen.
Bei der Zersplitterung von Android, unzähligen Geräten und den vielen Herstellern, ist das im Gegensatz zu Apple ein enormer Aufwand.
Und dass die Hersteller lieber ihre neuen Geräte verkaufen, ist doch wohl normal und verständlich. Würden doch die meisten Schreihälse, die jetzt mit Häme gegen Google schießen,genauso verfahren.
Ich weiß jetzt nicht wie schwierig, bzw., ob es technisch überhaupt möglich wäre, alle sicherheitsrelevanten Updates selbst zu machen, ohne dass die sich mit Herstellern und Providern in die Quere kämen?
Und dass Google mehr Einfluss darauf nehmen sollte/könnte?
Wer weiß denn schon von den Leuten die hier schreiben, was möglich wäre und was nicht?
Ich habe keine Kontakte zur Konzernspitze. ;)
Wünsche und Forderungen kann hier schließlich jeder Forist stellen. ;)
Und wie viel hätte es dann noch mit dem „freien“ Betriebssystem zu tun, wenn da in ähnlicher Weise wie bei Apple Vorschriften gemacht werden?
Wurde und wird doch auch immer mehr bei Google an „Daumenschrauben“ gedreht.
…Du kannst davon ausgehen, dass der Fehler in diesem Fall auf Googles ureigenem Mist gewachsen ist. Sonst wären die Nexus-Modelle nicht zwingend betroffen.
Gut, in diesem Fall sieht es wirklich so aus als wäre Google der Schuldige.
Aber wie schon oben erwähnt, ich habe keine Kontakte zur Konzernspitze, um mir dies bestätigen zu lassen. ;)
Aber in den anderen Fällen die Schuld nur auf Google abzuwälzen, ist nicht richtig, da bei den Updates eben noch viele andere Dinge eine Rolle spielen.
Und immer Apple als positives Beispiel anzuführen ist bei den wenigen Geräten die Apple auf dem Markt hat, doch absolut keine Kunst, da hat ja selbst Acer mehr Handys auf dem Markt.
@hihi
Ja, irgendwann schließt Apple die Lücken normalerweise, aber Safari ist z.B. auch Monate nach der Veröffentlichung immer noch anfällig für Poodle / SSLv3, sowohl mobil als in OSX
…hmm, ja…auch wahr.