Cyanogen schließt Stagefright-Lücken komplett

Die Nightly-Builds von CyanogenMod 11.0, 12.0 und 12.1 sind gegenüber den Stagefright-Lücken nicht mehr anfällig. Gegen Ende des Monats plant Cyanogen die Auslieferung von stabilen Versionen seiner Custom-Rom-Varianten.

Die Entwickler der beliebtesten Android-Custom-Rom CyanogenMod haben die in der Multimedia-Library Stagefright (zu Deutsch Lampenfieber) entdeckten Sicherheitslücken geschlossen. Anders als Google beseitigen sie sämtliche unter der Bezeichnung Stagefright genannten Schwachstellen mit den Kennungen CVE-2015-1538, -1539, -3824, -3827, -3828, -3829 und -3864. Die Nightlies von CyanogenMod 11.0, 12.0 und 12.1 sind gegenüber den Lücken nicht mehr anfällig. Gegen Ende des Monats plant Cyanogen die Auslieferung von stabilen Versionen.

Stagefright Detector App: CyanogenMod nicht länger anfällig (Screenshot: ZDNet.de)Mit der Stagefright Detector App können Anwender überprüfen, ob ihr Gerät anfällig für die gleichnamigen Sicherheitslücken ist. Die Entwickler der beliebtesten Android-Custom-Rom Cyanogen haben die Schwachstellen inzwischen beseitigt (Screenshot: ZDNet.de).

Die Sicherheitslücken in der Android-Multimedia-Library hatte die Sicherheitsfirma Zimperium im April an Google gemeldet. Sie wurde Ende Juli via NPR und auch im Blog von Zimperium öffentlich gemacht. Google hatte Ende Juli einen von Zimperium angebotenen Patch akzeptiert und an die Endgerätehersteller verteilt. Allerdings musste es inzwischen einräumen, dass dieser nicht alle Sicherheitslücken schließt. Mitarbeitern von Exodus Intelligence gelang es, eine MP4-Datei so zu manipulieren, dass sie einen der Patches umgeht und ein aktualisiertes Nexus 5 zum Absturz bringt. Datendiebstahl oder Code-Ausführung scheint die letzte Woche entdeckte Schwachstelle CVE-2015-3824 allerdings nicht zu ermöglichen.

Android-Nutzer können mit der Anwendung Stagefright Detector App überprüfen, ob ihr Gerät von den oben aufgeführten Schwachstellen betroffen ist. Das Programm wurde von Zimperium und Exodus Intelligence entwickelt. Alternative Anwendungen, die vorgeben, die Stagefright-Lücken ebenfalls zu erkennen, sollte man meiden, da sie nicht alle Schwachstellen überprüfen.

Die Ausnutzung der Stagefright-Sicherheitslücken erfolgt über eine präparierte MP4-Datei, die auf das Gerät beispielsweise per MMS, Hangouts, Messenger, E-Mail, USB oder über den Besuch einer präparierten Webseite gelangen kann und die Multimedia-Library Stagefright zum Absturz bringt. Der dadurch entstandene Pufferüberlauf kann zur Ausführung von Schadcode genutzt werden, sodass zum Beispiel Audiomitschnitte oder Videos ohne Zutun des Benutzers erstellt werden können. Ein Angreifer hätte auch Zugriff auf die Mediengalerie und die Bluetooth-Schnittstelle.

Stagefright wurde bis jetzt wohl nicht ausgenutzt, die Sicherheitslücke soll aber über 94 Prozent aller Android-Geräte betreffen. Google hat den Herstellern zwar Patches zur Verfügung gestellt, aber noch ist weitgehend unklar, wann und für welche Geräte Sicherheitsaktualisierungen bei den Nutzern ankommen. Immerhin haben Google, Samsung und andere Android-Hersteller angekündigt, zukünftig regelmäßig Sicherheitsaktualisierungen durchführen zu wollen.

Umfrage

Dürfen Mitarbeiter in Ihrem Unternehmen private Smartphones nutzen?

Ergebnisse anzeigen

Loading ... Loading ...

Themenseiten: Android, Cyanogen, Sicherheit

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen Lesen Sie ZDNet-Artikel in Google Currents ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

3 Kommentare zu Cyanogen schließt Stagefright-Lücken komplett

Kommentar hinzufügen
  • Am 18. August 2015 um 1:06 von Andy

    Bleibt dem gemeinen Endanwender wohl nur der Wechsel zu CM …

    Die Hersteller haben noch keine Sicherheitsupdates rausgeschickt… ziemlich armselig.

    • Am 18. August 2015 um 14:12 von melaw

      CM bringt aktuelles Android auch auf alte Geräte. Schneller, stromsparender, und spätestens seit Stagefright auch sicherer.
      Das heißt dann Abstimmung Mit Den Daumen

  • Am 18. August 2015 um 16:57 von bhae

    Nutze CM 1 Woche. Das S3 wird von Samsung nicht mehr gepflegt. Nach dem CM-Update läuft das S3 fehlerlos. Danke!

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *