Stagefright: Google und CyanogenMod schließen Schwachstellen

Google hat in Android zahlreiche Sicherheitslücken geschlossen. Das gestern veröffentlichte Android 6.0 enthält die Patches bereits. Dort wird unter Einstellungen – Über das Telefon der aktuelle Sicherheitsstatus angezeigt. Nexus-Besitzer sollten in den nächsten Tagen das OTA-Update auf Android 6.0 erhalten.

Auch für Geräte mit Android 5.1.1, die wie das Nexus 4 und das Nexus 7 (2012) kein Update auf Android 6.0 erhalten, werden mit einer Aktualisierung auf den letzten Stand in Sachen Sicherheit gebracht. Entsprechende Factory-Images mit der Bezeichnung LMY48T oder höher hat Google bereits veröffentlicht.

Google hat den Code für die entsprechenden Patches auch für das Android Open Source Project (AOSP) freigegeben, sodass Android-Entwickler sie in ihre eigenen ROM einspielen können. Neben Google hat CyanogenMod die Sicherheitslücken bereits gestopft. Laut Angaben der Entwickler beinhalten ab sofort sämtliche Nightly-Versionen die von Google bereitgestellten Sicherheitspatches.

Dazu zählen auch die neuen Stagefright-Lücken, über die Entdecker Zimperium letzte Woche informiert hat. Die Schwachstellen stecken demnach in den Komponenten libutils und libstagefright. Durch die erste Schwachstelle, die sämtliche Android-Versionen betrifft, kann auch die zweite genutzt werden. Davon sind allerdings nur Geräte mit Android 5.0 oder höher betroffen. Die erste Schwachstelle trägt die Bezeichnung CVE-2015-6602. Die zweite hatte zum Zeitpunkt der Veröffentlichung noch keine CVE-Bezeichnung. Laut Googles Security-Bulletin dürfte es sich dabei um CVE-2015-3876 handeln. Google verweist in diesem Zusammenhang auf Zimperium.

Wie schnell die Sicherheitslücken von anderen Smartphoneherstellern geschlossen werden, bleibt abzuwarten. Zwar haben Firmen wie HTC, LG, Samsung und Sony damit begonnen, die bereits Ende Juli entdeckten Stagefright-Schwachstellen zu beseitigen, doch ist dies noch nicht bei jedem Gerät und vollumfänglich geschehen. HTC ließ unterdessen verlauten, dass monatliche Updates, wie sie von LG und Samsung angekündigt wurden, in der Praxis wegen der Abhängigkeit zu den Mobilfunkprovidern nicht realisierbar seien.

Tipp: Sind Sie ein Android-Kenner? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de