Angriffe durch bestimmtes Bildformat
Samsung Galaxy patchen: Auch BSI warnt vor Sicherheitslücke
Ein bei Galaxy-Smartphones seit 2014 genutztes Bildformat birgt ein hohes Risiko. Alle Samsung-Nutzer sollten jetzt den aktuellen Mai-Patch einspielen.
Inzwischen weist auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) ausdrücklich auf die Schwachstelle in Samsung-Galaxy-Geräten hin, die es ermöglicht, Schadcode auf dem Smartphone auszuführen, selbst wenn die Angriffs-MMS nur empfangen und nicht geöffnet wurde....
Inzwischen weist auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) ausdrücklich auf die Schwachstelle in Samsung-Galaxy-Geräten hin, die es ermöglicht, Schadcode auf dem Smartphone auszuführen, selbst wenn die Angriffs-MMS nur empfangen und nicht geöffnet wurde.
Auf Twitter mahnt das BSI an, umgehend das Mai-Update zu installieren, mit dem die Sicherheitslücke geschlossen wird. (Siehe Tweet am Ende dieses Artikels.)
Sollte die Software-Aktualisierung nicht verfügbar oder eine Installation aus anderen Gründen nicht möglich sein, schaffe auch die Deaktivierung des automatischen MMS-Empfangs in den Smartphone-Einstellung erste Abhilfe.
Originalmeldung vom 7. Mai 2020
Samsung Galaxy: 6 Jahre alte Sicherheitslücke entdeckt
Google-Mitarbeiter vom Team Project Zero haben eine Sicherheitslücke entdeckt, die alle Samsung-Galaxy-Smartphones seit 2014 betrifft. Seit diesem Zeitpunkt unterstützen die Smartphones des koreanischen Unternehmens das „Qmage“-Bildformat (.qmg). Durch Manipulation entsprechender Daten und einem wiederholten Versand an betroffene Geräte lässt sich Androids Grafikbibliothek „Skia“ austricksen. Diese bearbeitet Bilder bereits beim Empfang – beispielsweise um später Vorschauen anzuzeigen. Der Versand findet bei der aktuellen Lücke per MMS statt – und lässt sich laut Googles Mateusz Jurczyk sogar tarnen, sodass das potenzielle Opfer nichts vom Angriff bemerkt.
Jurczyk ist es gelungen, die Samsung-Galaxy-Sicherheitslücke nach einem Versand von durchschnittlich etwa 50 bis 300 MMS auszunutzen. Wohlgemerkt kann dies ohne Benachrichtigung des Nutzers vonstattengehen. Die ersten Nachrichten haben die Aufgabe, die genaue „Position“ von Skia im Speicher auszumachen. Das sei wiederum nötig, um Androids „Address Space Layout Randomization“-Schutz (ASLR) auszutricksen. Ist Skias Position ausgemacht, folgt eine letzte MMS mit dem qmg-Bild, das beliebigen Schadcode enthält.
In einem Proof-of-Concept-Video (siehe unten) berichtet Jurczyk vom Fund und demonstriert einen Angriff über Samsungs Nachrichten-App. Theoretisch sei aber jede App anfällig, die Qmage-Bilddateien unterstützt. Angriffe dauern etwa rund 100 Minuten an und können vollständig unsichtbar ablaufen.
Lesetipp: Malware auf dem Smartphone - was tun?
Die Galaxy-Sicherheitslücke wurde im Februar entdeckt und Samsung gemeldet. Mit dem aktuellen Mai-Sicherheitsupdate wurde sie geschlossen. Das Leck ist bei Samsung unter SVE-2020-16747 und in der Mitre-CVE-Datenbank unter CVE-2020-8899 gelistet. Andere Smartphones seien nicht betroffen. Lediglich Samsung soll Android so weit modifiziert haben, dass Qmage-Bilder unterstützt werden – aber auch entsprechende Sicherheitslücken entstehen.
Samsung-Sicherheitslücke: Was tun?
Öffnen Sie die Einstellungen. Ganz unten finden Sie – wenn verfügbar - in der aktuellen One-UI-Version den Punkt Software-Update. Dort können Sie Updates anstoßen und installieren lassen. Wie es bei Ihrem Samsung Galaxy mit Updates aussieht, verrät der verlinkte Ratgeber. Für das Samsung-Flaggschiff von 2017 etwa gibt es seit kurzer Zeit nur noch quartalsweise Patches. Mehr lesen Sie in unserer News zu Galaxy S8 Sicherheitsupdates.
Bei Vorgängern ist die Situation noch schwieriger. 2014 war übrigens das Galaxy S5 erschienen. Aufgrund des hohen Alters und immer gefährlicheren Sicherheitsbedrohungen sollten Sie den Kauf eines aktuellen Smartphones in Erwägung ziehen oder beispielsweise folgende Sicherheits-Tipps für Android beherzigen.
