Google schließt zwölf kritische Sicherheitslücken in Android

Zwei stecken erneut in der Mediaserver-Komponente. Sie ermöglichen das Einschleusen und Ausführen von Schadcode aus der Ferne. Im schlimmsten Fall ist der Nutzer dadurch gezwungen, sein Gerät zu löschen und neu zu flashen. Ein OTA-Update für Nexus-Geräte wird bereits verteilt.

Google hat am Montag im Rahmen seines monatlichen Android-Patchdays ein Over-the-Air-Update für seine Nexus-Geräte veröffentlicht. Es beseitigt insgesamt 40 Schwachstellen, von denen zwölf als kritisch eingestuft sind. Erneut betroffen ist die Mediaserver-Komponente, in der schon in den vergangenen Monaten immer wieder neue Lücken entdeckt wurden.

Android-Aktualisierung (Bild: ZDNet.de)Laut einer Sicherheitsmeldung ermöglichen zwei Lecks im Mediaserver von Android „beim Verarbeiten von Mediendateien Remotecodeausführung auf einem betroffenen Gerät durch verschiedene Methoden wie E-Mail, Webbrowsing und MMS“. Via Google Handouts oder Messenger sollen sich die Schwachstellen jedoch nicht ausnutzen lassen.

Anders ausgedrückt kann ein Angreifer über die genannten Wege Malware auf einem Android-Gerät einschleusen und aufgrund des fehlerhaften Mediaserver ausführen, weil dieser erhöhte Zugriffsrechte besitzt. Als Entdecker des Problems nennt Google Alibaba-Sicherheitsforscher Weichao Sun. Betroffen sind alle Nexus-Modelle sowie andere Geräte mit Android 4.4.4 KitKat oder neuer.

Die zehn weiteren kritischen Schwachstellen stecken in der Debugger-Komponente, Nvidias Videotreiber, Qualcomms TrustZone und WLAN-Treiber sowie im Kernel. Sie ermöglichen die Ausweitung von Zugriffsrechten.

Beispielsweise könnten Angreifer über den Android-Debugger mittels einer manipulierten Datei Schadcode ausführen, so dass der Anwender im schlimmsten Fall sein Gerät komplett löschen und neu flashen müsste. Gleiches gilt für die anderen kritischen Lücken, da deren Ausnutzen laut Google „ein Gerät dauerhaft kompromittieren“ kann.

Umfrage

Wie sieht in Ihrem Unternehmen die Ausstattung für mobile Mitarbeiter aus?

Ergebnisse anzeigen

Loading ... Loading ...

Von 19 der übrigen 28 Schwachstellen geht dem Android-Entwickler zufolge ein hohes Risiko aus. Sie erlauben ebenfalls Rechteausweitung und Remotecodeausführung sowie das Ausspähen von Informationen und Denial-of-Service-Angriffe aus der Ferne. Das von den restlichen Lücken ausgehende Risiko stuft Google in acht Fällen als „moderat“ und in einem als „niedrig“ ein.

Aktuelle Factory Images für die Nexus-Geräte sind ab sofort auf der Entwickler-Website verfügbar. Das OTA-Update sollte in den kommenden Tagen auf allen Nexus-Geräten eintreffen. Unter dem Einstellungspunkt „Über das Telefon“ beziehungsweise „Über das Tablet“ können Nutzer überprüfen, ob sie es bereits erhalten haben. Dort sollte mindestens die Android-Sicherheitspatch-Ebene 1. Mai 2016 angezeigt werden.

HIGHLIGHT

Samsung Galaxy TabPro S im Test

Mit einem Gewicht von nur 693 Gramm gehört das Samsung Galaxy TabPro S zu den Leichtgewichten unter den 12-Zoll-Windows-Tablets. Hervorzuheben ist auch das verwendete Super AMOLED-Display: Es liefert einen hervorragenden Schwarzwert und einen sehr hohen Kontrast. Die Farbdarstellung ist exzellent

Wer nicht auf das OTA-Update warten und stattdessen ein Factory Image einspielen möchte, sollte beachten, dass dabei in der Regel alle auf dem Gerät gespeicherten Daten verloren gehen. Daher empfiehlt sich zuvor eine Sicherung aller persönlicher Daten wie Fotos und Downloads. Der ZDNet-Artikel „Nexus 4, 5 und 7: Android 5.0 Lollipop installieren“ liefert eine detaillierte Anleitung, die sich auch für Android 6.0.1 anwenden lässt. Sie beschreibt die Installation eines Factory Image mit Hilfe des Skripts Flash-all.bat. Wer die von Google veröffentlichten Systemabbilder verwendet, erhält übrigens auch künftig OTA-Updates.

Unklar ist wie immer, wann andere Hersteller ihre Geräte aktualisieren werden. Neben Google haben sich unter anderem LG und Samsung verpflichtet, monatliche Sicherheitsupdates bereitzustellen. Samsung beschränkt sich dabei allerdings auf wenige Spitzenmodelle. Zudem weist es darauf hin, dass es je nach Modell und Region zu Verzögerungen kommen kann.

[mit Material von Zack Whittaker, ZDNet.com]

Tipp: Sind Sie ein Android-Kenner? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de

Themenseiten: Android, Google, Security

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Björn Greif
Autor: Björn Greif
Redakteur ZDNet.de
Björn Greif
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen Lesen Sie ZDNet-Artikel in Google Currents ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

Noch keine Kommentare zu Google schließt zwölf kritische Sicherheitslücken in Android

Kommentar hinzufügen

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *