Google schließt die zwei verbliebenen Quadrooter-Schwachstellen
Es handelt sich um die als “schwerwiegend” eingestufte Lücke CVE-2016-2059 und die “kritische” Schwachstelle CVE-2016-5340. Die Fehlerbehbungen sind Teil des turnusmäßigen Sicherheits-Updates für September. Mit ihm werden zudem sechs weitere, als kritisch eingestufte Lücken geschlossen.
Knapp einen Monat nachdem Sicherheitsforscher die vier als Quadrooter bezeichneten Sicheheitslücken in Android veröffentlicht hatten, hat Google nun die zwei noch offenen Schwachstellen CVE-2016-2059 und CVE-2016-5340 a href=”https://groups.google.com/forum/#!topic/android-security-updates/99-1Ss0-UxI” target=”_blank”>geschlossen.
Das Update steht für Nexus-Geräte bereit. Android-Geräte anderer Hersteller bekommen die Sicherheitsaktualisierung in den nächsten Tagen. Mit ihem werden auch sechs weitere als “kritisch eingestufte Fehler in Android behoben. Zu ihnen gehört auch eine Lücke die Remote-Codeausführung ermöglicht.
Mitte August hatte der Sicherheitsanbieter Check Point vor vier schwerwiegenden Sicherheitslücken gewarnt, die ihm zufolge in nahezu allen Android-Smartphones und –Tablets mit Qualcomm-Chips stecken. Die als “Quadrooter” bezeichneten Schwachstellen erlauben die unautorisierte Ausweitung von Benutzerrechten. Angreifer könnten mit ihrer Hilfe die vollständige Kontrolle über ein Android-Gerät übernehmen.
Schätzungen von Check Point zufolge waren bis zu 900 Millionen Geräte weltweit anfällig. Check Point stellt auch eine kostenlose App bereit, mit der Nuzter prüfen können, ob ihr Gerät anfällig ist.
Laut Adam Donenfeld, Sicherheitsforscher bei Check Point, muss ein Angreifer um die Lücken ausnutzen zu können sein Opfer zuerst zur Installation einer von ihm manipulierten Anwendung verleiten. Im Gegensatz zu anderer Android-Malware benötigt die jedoch keine speziellen Berechtigungen.
Blackberry und CyanogenMod hatten die Quadrooter-Lückne bereits eine Woche später geschlossen. Allerdings stellte sich auch bald heraus, dass die Sicherheitsfunktion Verify Apps vor den Quadrooter-Lücken schützt. Verify Apps ist Teil der Google Play Services und seit Version 4.2 in Android standardmäßig aktiv und schützt vor Downloads aus unbekannten Quellen. Da sowohl CyanogenMod als auch Blackberry aus Sicht von Verify Apps “unbekannte Quellen” durchaus als legitime Download-Quellen ansehen, waren die Patches hier auch wesentlich wichtiger.
[mit Material von Florian Kalenda, ZDNet.de]
Tipp: Sind Sie ein Android-Kenner? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de