Technische Warnung des Bürger-CERT
----------------------------------


TECHNISCHE WARNUNG TW-T15/0062
Titel: Sicherheitswarnung für Android-Smartphones
Datum: 28.07.2015
Risiko: sehr hoch

ZUSAMMENFASSUNG
Mehrere Sicherheitslücken in der Android Multimedia-Schnittstelle
Stagefright erlauben einem entfernten Angreifer über das Senden einer
multimedialen Kurznachricht mit eingebettetem Schadcode das Ausspähen von
Informationen und in bestimmten Fällen sogar den weitreichenden Zugriff
auf das komplette System.
Die Sicherheitslücken existieren in den Android-Version 2.2 bis 5.1, sind
aber in Versionen kleiner als 4.1 leichter ausnutzbar, da in diesen
Versionen weniger Schutzfunkionen vorhanden sind als in neueren
Android-Versionen.

BETROFFENE SYSTEME
- Google Android Operating System
- Google Android Operating System ab 2.2
- Google Android Operating System vor 4.1
- Google Android Operating System bis einschließlich 5.1

EMPFEHLUNG
Wenn Sie eine Android-Version, die älter als 4.1 ist, nutzen, nehmen Sie,
sofern das für Ihr Gerät möglich ist, ein Update auf 4.1 oder höher vor.
Ist ein Update nicht möglich, können Sie sich an Ihren
Firmware-Hersteller wenden, um die Verfügbarkeit von Sicherheitsupdates
zur erfragen. Aktuell stehen nur für Nutzer der alternativen
Android-Distribution CyanogenMod Sicherheitsupdates für Version 12
bereit, die möglichst zeitnah aktiviert werden sollten.

BESCHREIBUNG
Android ist ein Betriebssystem und eine Software-Plattform für mobile
Geräte wie Smartphones, Mobiltelefone, Netbooks und Tablet-Computer. Sie
wird von der Open Handset Alliance entwickelt, deren Hauptmitglied der
Google-Konzern ist.

Mehrere Schwachstellen erlauben einem Angreifer aus dem Internet, durch
das Senden einer multimedialen Kurznachricht, Schadsoftware auf Ihr
Smartphone zu bringen und diese auszuführen, ohne dass Sie es bemerken.
Darüber erhält der Angreifer die Möglichkeit auf die Mediengalerie und
die Bluetooth-Schnittstelle zuzugreifen oder Audio-Mitschnitte und Videos
aufzuzeichnen. In einigen Fällen, in denen der Multimedia-Dienst mit
Systemrechten läuft, kann das System komplett übernommen werden.

QUELLEN
- CyanogenMod Security Update
https://plus.google.com/+CyanogenMod/posts/7iuX21Tz7n8
- Heise Security: Android-Smartphones über Kurznachrichten angreifbar
http://www.heise.de/security/meldung/Android-Smartphones-ueber-Kurznachrichten-angreifbar-2763764.html




-----------------------------------------------------------------------
Diese Technische Warnung ist ein kostenloses Service-Angebot des
Bürger-CERT, http://www.buerger-cert.de. Die Informationen werden mit
größter Sorgfalt recherchiert und aufbereitet, dennoch kann eine
Gewähr oder Haftung für die Vollständigkeit und Richtigkeit nicht
übernommen werden.

Unter http://www.buerger-cert.de haben Sie die Möglichkeit, diesen
Informationsdienst zu abonnieren oder abzubestellen. Fragen und
Anregungen an die Redaktion bitte an: oeffentlichkeitsarbeit@bsi.bund.de