Bislang waren die Gefahren durch Stagefright eher theoretischer Natur: Der einzig funktionsfähige Exploit stammte von Zimperium selbst – also dem Unternehmen, das die Sicherheitslücke Ende Juli selbst entdeckte. Jetzt demonstriert ausgerechnet Google, wie man über den Stagefright-Exploit ein Mobiltelefon kapern kann. Was zunächst kaum Sinn ergibt, hat aber seine Gründe.
Auch interessant: Sicherheitslücke: Android Lollipop-Passwörter lassen sich knacken
Um Druck auf die Hersteller auszuüben, zeigt Google selbst, wie sich der Stagefright-Exploit nutzen lässt (Grafik: Zimperium)
Denn auf diese Weise möchte der Suchmaschinenanbieter offenbar Druck auf die Hersteller ausüben, die schwerwiegende Sicherheitslücke schneller zu schließen. Zwar haben diverse Smartphone-Hersteller wie etwa Samsung Sicherheitsupdates versprochen und zum Teil sogar bereits ausgeliefert, doch Google kennt seine Pappenheimer wohl nur zu gut, um sich nicht lediglich auf Ankündigungen zu verlassen.
Googles hauseigenes Project-Zero-Team hat sich im Test ein Nexus 5 mit Android 5.1.1 vorgenommen. Im Schnitt funktionierte der Exploit jedes 256. Mal, berichtet t3n. Wer nun glaubt, dass ihm diese vergleichsweise niedrige Zahl einen gewissen statistischen Schutz bietet, irrt jedoch. Für einen Massenangriff, der sich gegen tausende oder hunderttausende Nutzer richtet, reicht diese Chance vollkommen aus. Eine Möglichkeit wäre beispielsweise, eine manipulierte MP3-Datei auf einer Webseite einzubauen und die Nutzer dazu zu verleiten, mehrere Minuten auf der Seite zu verbleiben, da nach jedem Aktivieren des Exploits der Android-Mediaserver kurz neu starten muss.
In einem weiteren Blogeintrag hat das Project-Zero-Team außerdem angekündigt, weitere Angriffsmöglichkeiten darzulegen. Google erhöht also ganz klar den Druck auf die Hersteller, die betroffene Lücke CVE-2015-3864 zu schließen. Das kann man auch kritisch sehen, dass Google nun öffentlich macht, wie sich Stagefright ausnutzen lässt – aber das Unternehmen geht zumindest mit gutem Beispiel voran: ein Patch für CVE-2015-3864 wurde vergangene Woche für die Geräte der Nexus-Reihe ausgerollt.
Quelle: Google Project Zero
