Google schließt zwölf kritische Sicherheitslücken in Android

Google hat am Montag im Rahmen seines monatlichen Android-Patchdays ein Over-the-Air-Update für seine Nexus-Geräte veröffentlicht. Es beseitigt insgesamt 40 Schwachstellen, von denen zwölf als kritisch eingestuft sind. Erneut betroffen ist die Mediaserver-Komponente, in der schon in den vergangenen Monaten immer wieder neue Lücken entdeckt wurden.

Laut einer Sicherheitsmeldung ermöglichen zwei Lecks im Mediaserver von Android „beim Verarbeiten von Mediendateien Remotecodeausführung auf einem betroffenen Gerät durch verschiedene Methoden wie E-Mail, Webbrowsing und MMS“. Via Google Handouts oder Messenger sollen sich die Schwachstellen jedoch nicht ausnutzen lassen.

Anders ausgedrückt kann ein Angreifer über die genannten Wege Malware auf einem Android-Gerät einschleusen und aufgrund des fehlerhaften Mediaserver ausführen, weil dieser erhöhte Zugriffsrechte besitzt. Als Entdecker des Problems nennt Google Alibaba-Sicherheitsforscher Weichao Sun. Betroffen sind alle Nexus-Modelle sowie andere Geräte mit Android 4.4.4 KitKat oder neuer.

Die zehn weiteren kritischen Schwachstellen stecken in der Debugger-Komponente, Nvidias Videotreiber, Qualcomms TrustZone und WLAN-Treiber sowie im Kernel. Sie ermöglichen die Ausweitung von Zugriffsrechten.

Beispielsweise könnten Angreifer über den Android-Debugger mittels einer manipulierten Datei Schadcode ausführen, so dass der Anwender im schlimmsten Fall sein Gerät komplett löschen und neu flashen müsste. Gleiches gilt für die anderen kritischen Lücken, da deren Ausnutzen laut Google „ein Gerät dauerhaft kompromittieren“ kann.

Von 19 der übrigen 28 Schwachstellen geht dem Android-Entwickler zufolge ein hohes Risiko aus. Sie erlauben ebenfalls Rechteausweitung und Remotecodeausführung sowie das Ausspähen von Informationen und Denial-of-Service-Angriffe aus der Ferne. Das von den restlichen Lücken ausgehende Risiko stuft Google in acht Fällen als „moderat“ und in einem als „niedrig“ ein.

Aktuelle Factory Images für die Nexus-Geräte sind ab sofort auf der Entwickler-Website verfügbar. Das OTA-Update sollte in den kommenden Tagen auf allen Nexus-Geräten eintreffen. Unter dem Einstellungspunkt „Über das Telefon“ beziehungsweise „Über das Tablet“ können Nutzer überprüfen, ob sie es bereits erhalten haben. Dort sollte mindestens die Android-Sicherheitspatch-Ebene 1. Mai 2016 angezeigt werden.

Wer nicht auf das OTA-Update warten und stattdessen ein Factory Image einspielen möchte, sollte beachten, dass dabei in der Regel alle auf dem Gerät gespeicherten Daten verloren gehen. Daher empfiehlt sich zuvor eine Sicherung aller persönlicher Daten wie Fotos und Downloads. Der ZDNet-Artikel „Nexus 4, 5 und 7: Android 5.0 Lollipop installieren“ liefert eine detaillierte Anleitung, die sich auch für Android 6.0.1 anwenden lässt. Sie beschreibt die Installation eines Factory Image mit Hilfe des Skripts Flash-all.bat. Wer die von Google veröffentlichten Systemabbilder verwendet, erhält übrigens auch künftig OTA-Updates.

Unklar ist wie immer, wann andere Hersteller ihre Geräte aktualisieren werden. Neben Google haben sich unter anderem LG und Samsung verpflichtet, monatliche Sicherheitsupdates bereitzustellen. Samsung beschränkt sich dabei allerdings auf wenige Spitzenmodelle. Zudem weist es darauf hin, dass es je nach Modell und Region zu Verzögerungen kommen kann.

[mit Material von Zack Whittaker, ZDNet.com]

Tipp: Sind Sie ein Android-Kenner? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de