Cyanogen schließt Stagefright-Lücken komplett

Die Entwickler der beliebtesten Android-Custom-Rom CyanogenMod haben die in der Multimedia-Library Stagefright (zu Deutsch Lampenfieber) entdeckten Sicherheitslücken geschlossen. Anders als Google beseitigen sie sämtliche unter der Bezeichnung Stagefright genannten Schwachstellen mit den Kennungen CVE-2015-1538, -1539, -3824, -3827, -3828, -3829 und -3864. Die Nightlies von CyanogenMod 11.0, 12.0 und 12.1 sind gegenüber den Lücken nicht mehr anfällig. Gegen Ende des Monats plant Cyanogen die Auslieferung von stabilen Versionen.

Die Sicherheitslücken in der Android-Multimedia-Library hatte die Sicherheitsfirma Zimperium im April an Google gemeldet. Sie wurde Ende Juli via NPR und auch im Blog von Zimperium öffentlich gemacht. Google hatte Ende Juli einen von Zimperium angebotenen Patch akzeptiert und an die Endgerätehersteller verteilt. Allerdings musste es inzwischen einräumen, dass dieser nicht alle Sicherheitslücken schließt. Mitarbeitern von Exodus Intelligence gelang es, eine MP4-Datei so zu manipulieren, dass sie einen der Patches umgeht und ein aktualisiertes Nexus 5 zum Absturz bringt. Datendiebstahl oder Code-Ausführung scheint die letzte Woche entdeckte Schwachstelle CVE-2015-3824 allerdings nicht zu ermöglichen.

Android-Nutzer können mit der Anwendung Stagefright Detector App überprüfen, ob ihr Gerät von den oben aufgeführten Schwachstellen betroffen ist. Das Programm wurde von Zimperium und Exodus Intelligence entwickelt. Alternative Anwendungen, die vorgeben, die Stagefright-Lücken ebenfalls zu erkennen, sollte man meiden, da sie nicht alle Schwachstellen überprüfen.

Die Ausnutzung der Stagefright-Sicherheitslücken erfolgt über eine präparierte MP4-Datei, die auf das Gerät beispielsweise per MMS, Hangouts, Messenger, E-Mail, USB oder über den Besuch einer präparierten Webseite gelangen kann und die Multimedia-Library Stagefright zum Absturz bringt. Der dadurch entstandene Pufferüberlauf kann zur Ausführung von Schadcode genutzt werden, sodass zum Beispiel Audiomitschnitte oder Videos ohne Zutun des Benutzers erstellt werden können. Ein Angreifer hätte auch Zugriff auf die Mediengalerie und die Bluetooth-Schnittstelle.

Stagefright wurde bis jetzt wohl nicht ausgenutzt, die Sicherheitslücke soll aber über 94 Prozent aller Android-Geräte betreffen. Google hat den Herstellern zwar Patches zur Verfügung gestellt, aber noch ist weitgehend unklar, wann und für welche Geräte Sicherheitsaktualisierungen bei den Nutzern ankommen. Immerhin haben Google, Samsung und andere Android-Hersteller angekündigt, zukünftig regelmäßig Sicherheitsaktualisierungen durchführen zu wollen.