Sicherheitslücke „Stagefright“ lässt sich nicht nur über MMS ausnutzen

Sicherheitsforscher von Trend Micro haben sich mit der Stagefright genannten Sicherheitslücke in Android näher beschäftigt und weitere Angriffsvektoren gefunden. Demnach sind Exploits nicht nur mit MMS-Nachrichten möglich, sondern ebenso über entsprechend präparierte Websites und Apps.

Stagefright nutzt einen Fehler in der Mediaplayer-Engine von Android. Die Lücke wurde von der Sicherheitsfirma Zimperium entdeckt und nach dieser Komponente benannt. Laut Zimperium muss ein Video per MMS an ein Gerät gesendet werden, um die Android-Lücke auszunutzen. Je nach verwendeter Messaging-App müsse der Nutzer die Nachricht aufrufen, aber nicht unbedingt das Video ansehen. Beim Einsatz von Google Hangouts sei sogar eine Infektion beim Empfang selbst möglich, da dieses Programm das Video gleich bei Erhalt dekodiert.

Das Sicherheitsunternehmen Trend Micro erklärt die Anfälligkeit, auf die es unabhängig von Zimperium gestoßen sei, durch den Dienst Mediaserver, der nicht korrekt mit einer deformierten MP4-Datei umgehen kann. „Wenn der Mediaserver eine solche Datei zu verarbeiten hat, kann es einen Heap Overflow auslösen und Daten im Heap überschreiben“, führt Sicherheitsforscher Wish Wu in einem Blogeintrag aus. „Das kann eine Ausführung von Code bewirken, die wiederum zum Download einer App auf das Gerät führen kann.“

Wu und seine Kollegen fanden neben dem per MMS versandten Video zwei weitere Szenarien, mit denen sich die Schwachstelle ausnutzen lässt. Für Testzwecke schufen sie eine entsprechend präparierte MP4-Datei und demonstrierten, dass sich damit der Heap des Mediaservers zum Absturz bringen lässt. Ein Angreifer könnte aber darüber hinaus einen speziellen Datenblock schaffen, um den Heap zu füllen und Kontrolle über die Code-Ausführung zu bekommen.

In einem zweiten Szenario betteten sie die gleiche manipulierte MP4-Datei in eine HTML-Datei ein und luden sie auf einen Webserver. Wurde nun etwa in Android 5.1.1 zur Betrachtung die integrierte Komponente WebView genutzt, ergaben sich die gleichen Probleme wie im ersten Szenario. Die MP4-Datei habe auch dann einen Heap Overflow verursacht, wenn im Mobilbrowser Chrome das Vorausladen und die automatische Wiedergabe von mit dem Video-Tag eingebetteten Videos deaktiviert wurde.

Stagefright wurde bis jetzt wohl nicht ausgenutzt, die Sicherheitslücke soll aber über 94 Prozent aller Android-Geräte betreffen. Google hat den Herstellern zwar Patches zur Vefügung gestellt, aber noch ist weitgehend unklar, wann und für welche Geräte Sicherheitsaktualisierungen bei den Nutzern ankommen.