News Stagefright 2.0: Sicherheitslücke erlaubt Zugriff auf Android über MP3 & MP4

[Phneom]

Sonst bin ich da ja auch recht unempfindlich aber es wird mal Zeit.
Ich glaube mein nächstes Smartphone wird ein Lumia, nur doof das es bis dahin noch dauern wird.


Außerdem:

Ab Android 5.0 ist es für Angreifer etwas schwieriger, schadhaften Code via MP3 einzuschleusen. Außer dem Sicherheitsleck in libutils muss auch eine Lücke in der Systembibliothek libstagefright (CVE-2015-3876) ausgenutzt werden. Zudem muss der Nutzer die manipulierte Datei manuell öffnen. Für libstagefright hat Google, im Gegensatz zu libutils, noch keine Aktualisierung angekündigt.

 

[Computer_Nooby]

Ja, und zwar ihre Privatsphäre.

In Zeiten der sowieso alltäglichen Komplettüberwachung? Sehr witzig.

 

[pandaimonium]

Der Punkt ist einzig und allein. Wie Wahrscheinlich ist etwas. Und dann hat es sich auch quasi immer erledigt.

Gemäß dem Motto "Wer anderen eine Bratwurst brät der braucht ein Bratwurstbratgerät"

 

[MiamXD]

Hast mal wieder nur die Headline gelesen was?

Es ist scheiß egal wo die Datei herkommt. Die kann in Webseiten eingebunden sein, per App nachgeladen (MITM), per WhatsApp und automatischem Download verschickt usw.

Hast mal wieder nur die erst Hälfte des Artikels gelesen?
Zwei Absätze unter deinem Zitat:

Ab Android 5.0 ist es für Angreifer etwas schwieriger, schadhaften Code via MP3 einzuschleusen. Außer dem Sicherheitsleck in libutils muss auch eine Lücke in der Systembibliothek libstagefright (CVE-2015-3876) ausgenutzt werden. Zudem muss der Nutzer die manipulierte Datei manuell öffnen. Für libstagefright hat Google, im Gegensatz zu libutils, noch keine Aktualisierung angekündigt.

Wer sich nicht um ein einigermaßen aktuelles System bemühen möchte,ist selber Schuld. Lollipop ist jetzt immerhin schon ein Jahr alt und nachdem mein Opa es von sich aus geschafft hat, CM zu isntallieren nehme ich keinem mehr ab, dass das zu schwer ist

 

[Keksdt]

Wer sich nicht um ein einigermaßen aktuelles System bemühen möchte,ist selber Schuld. Lollipop ist jetzt immerhin schon ein Jahr alt und nachdem mein Opa es von sich aus geschafft hat, CM zu isntallieren nehme ich keinem mehr ab, dass das zu schwer ist

CM installieren ist stellenweise zwar echt einfach aber auch gern mit nachteilen versehen, wenn man nicht die entsprechenden Geräte hat. Je nach Gerät ist das auch erhöher Aufwand, bei der Sony Z Reihe geht das per se ganz einfach aber bei einfach leidet die Kamera massive darunter...

 

[wiredcr]

Es kann doch absolut nicht sein, dass man an seinem schweineteuren und meist gar nicht so alten Gerät selbst werkeln muss, danach nicht selten gewisse Funktionen nur schlecht oder gar nicht mehr funktionieren und man damit dann meist sogar seine Garantie verliert, nur um an ein aktuelles System ohne bekannte Sicherheitslücken zu kommen.

 

[hallo7]

Die letzte Mp3 die es auf mein Handy geschafft hat, ist 2 Jahre alt und stammt von meiner Festplatte^^

Videos hab ich nur selbst gemachte drauf... (achja, ich nutze Internet am Handy nur um CB oder Nachrichtenseiten zu lesen, hab nichtmal Software drauf um Musik oder Videos aus dem Internet wiederzugeben)

 

[Thunder-P]

Neue Sicherheitslücken sind natürlich immer schlecht. Aber bei mir kommen die MP3s ausschließlich von meinem Rechner und online nehme ich noch lange nicht alles an. Viel Spaß beim "entern"

 

[Schrammler]

Ich höre keine MP3, nur Flac auf dem Smartphone. Trotzdem ein weiterer Sargnagel für Android, mein nächstes wird einmal FOS, Ubuntu oder gar Windows 10 haben- die Updatepolitik bei Android finde ich zum

 

[Koto]

Wer sich nicht um ein einigermaßen aktuelles System bemühen möchte,ist selber Schuld. Lollipop ist jetzt immerhin schon ein Jahr alt und nachdem mein Opa es von sich aus geschafft hat, CM zu isntallieren nehme ich keinem mehr ab, dass das zu schwer ist

Facepalm

Ich begründe das auch. Du tust So, als erlischt da nicht die Garantie. Du tust ebenfalls so, als wäre das je nach Gerät einfach. Zb mein Sony Xperia Z4 Tab da versuche das mal.

Und Du tust so als gäbe es für jedes Gerät CM.

Es kann doch nicht so schwer sein zumindest etwas über seinen eigenen engen Horizont zu sehen oder?

 

[Tiu]

Sobald das erste Linux Handy mit LTE Unterstützung da ist, ist es meins

 

[surogat]

Neue Sicherheitslücken sind natürlich immer schlecht. Aber bei mir kommen die MP3s ausschließlich von meinem Rechner und online nehme ich noch lange nicht alles an. Viel Spaß beim "entern"

Und was macht dich so sicher, dass es sich dabei ausschließlich um ungefährliche Dateien handelt? Weil sie auf deinem PC keinen Schaden angerichtet haben, bzw. du diesen gar nicht erst bemerkt hast? Schadhafte MP3s sind ein alter Hut und es finden sich tausende davon auf Millionen von legalen und illegalen Webseiten.

 

[Koto]

Schadhafte MP3s sind ein alter Hut und es finden sich tausende davon auf Millionen von legalen und illegalen Webseiten.

Nun mag das schon sein. Heißt man sollte vielleicht sich nicht auf solchen Seiten herumtreiben oder?

Das meine ich mit Wahrscheinlich. Will man hier wirklich sagen das 80% der User sich auf Dubiosen Seiten herumtreiben.

Bei den Meldungen wird immer in Millionen oder Milliarden gegangen. Das es aber in der Wirklichkeit eben nicht so ist das die Chance bei 90% liegt Opfer zu werden sondern eher bei 0.5 % das lässt man weg.

Nun das gilt generell für alle Bugs.

Zb jemand sagt, man kann eine Webseite kompromittieren. Ja kann man. Nur wie wahrscheinlich ist es, das ich auf eine legale Webseite gehe in dem Augenblick, wo die gehackt wurde und das noch nicht entdeckt wurde?

So wahrscheinlich wie 3 mal im Lotto zu gewinnen?

Wobei ja nun auch nicht jede Dubiose Seite gleich vollkommen unkontrolliert ist. Auch das lässt man dann weg. Genauso das eigentlich mit so einem Angriff nicht viel zu holen ist.

Wie wahrscheinlich ein Angriff ist hängt doch vom Zufall ab. Ich muss zufällig mit meinem Gerät kleiner als Android Version 5 auf eine Webseite kommen wo so eine Datei liegt. Dann kann man aber immer noch recht wenig damit machen.

Man Gewinnt eher 2 mal im Lotto als da Opfer zu werden. Wer dann noch Legale Seiten besucht bei dem Sinkt die % Chance auf Angriff doch quasi ins astronomische.

Da wäre ne Warnung besser das einem das Gerät geklaut wird doch eher angesagt. Die Wahrscheinlichkeit ist Gewaltig höher. LOL

 

[Yuuri]

@ Koto: Unglaublich, wie du ne eklatante, einfache, praktisch immer ausnutzbare Lücke zerreden willst, anstatt zu sehen was es ist: ne Sicherheitslücke, mit der man Schabernack treiben kann. Was ist doch vorrangig egal, das ist dann die Sache des Entwicklers. Ob er nun dauerhaft Anwendungsprofile erstellt und diese weiterverkauft oder einfach nur mal sinnlos Fotos macht oder dir dauerhaft Werbung unterschiebt und damit Kohle macht oder sonst was. Dass es möglich ist, ist das Problem, nicht ob, wenn, aber, ja hätte doch, und sowieso oder wenn es Schweine regnet oder Kühe pinke Hüte tragen und sich nen Wikingerbart wachsen lassen.

Schnallst du dich denn im Auto an? Die Wahrscheinlichkeit, dass ein Unfall passiert, liegt doch sicherlich nur bei 1 %. Oder schnallst du dich nicht wegen der Gefahr, sondern wegen dem Bußgeld an? Über rote Ampeln fährst du bestimmt auch, weil die Wahrscheinlichkeit, dass gerade dich der Gegenverkehr trifft... Herr lass Hirn regnen...

http://www.heise.de/security/meldung/Google-Play-Malware-rootet-Android-Geraete-2823455.html
http://www.heise.de/security/meldung/Nuclear-Exploit-Kit-mit-Google-Ads-ausgeliefert-2596908.html

Und was es nicht sonst noch so gibt. Wahrscheinlich argumentierst du jetzt aber wieder mit deinen liebgewonnenen Wahrscheinlichkeiten. Lass es stecken. Es ist nur eine Weitere von vielen offenen Lücken in praktisch allen Android Phones.

Was übrigens in deiner Argumentation noch fehlt: Tortendiagramme. Ganz hip heutzutage, probiers mal aus.

 

[KTelwood]

Hrmmm MP4 is schon doof, konnte man doch so Mediathek videos herunterladen......

Das man als Androiduser am besten immernoch seine MMS deaktiviert und keine MP3 aufs handy läd....also alles per Stream und Internet Kurznachrichten. NSA ICK HÖR DIR TRAPSEN

 

[surogat]

@Koto Man muss sich doch gar nicht auf dubiose Webseiten herumtreiben, es reicht schon nicht zu wissen, auf welche Webseiten sich derjenige herumgetrieben hat, von dem man sich die neueste "Scheibe" von Achsotollersänger "ausgeliehen" hat.

 

[Veitograf]

sind die stagefright detector apps schon auf dem aktuellen stand? laut der app von zimperium und lookout ist mein nexus 5 sicher.

 

[iSight2TheBlind]

Es ist lustig wie hier die Gefahr von einigen heruntergespielt wird, obwohl sie sich scheinbar keine ernsthaften Gedanken machen wie lächerlich einfach diese Lücke ausgenutzt werden kann.

Dieser Link zeigt sehr deutlich wie einfach es ist diese Lücke auszunutzen, der Typ hinter dem Link ist sozusagen ein Experte auf diesem Gebiet.

Es geht ja nicht darum, dass man eine schädliche MP3 auf seinem PC herunterlädt, dann per Windows Explorer auf sein Gerät schiebt und dort dann anhört.
Nein, allein dass die MP3 irgendwie auf dem Gerät verarbeitet oder im Browser abgespielt wird reicht aus.
Und wer nicht erstmal bei jedem Link der er - z.B. in einem Forum - anklickt vorher schaut wohin dieser Link führt kann bereits beim nächsten verwendeten Link auf eine entsprechend manipulierte Datei hinter dem Link treffen.

Und laut (mittlerweile einen Monat alten, die neue Version erscheint die Tage) aktuellster Android-Versionsstatistik nutzen 79% der Androidgeräte (die auf den Store zugegriffen haben) eine Androidversion unter Android 5.0, d.h. dort ist nichts weiteres notwendig um die Lücke auszunutzen.

Dass Argument dass sogar der Opa eine Custom Firmware installieren könne ist so absolut lächerlich dass es weh tut.
Da nimmt man den Geräteherstellung völlig aus der Verantwortung die er eigentlich hat und ersetzt die Gerätefirmware die für das Gerät gedacht ist durch eine die von dahergelaufenen Nutzern entwickelt wurde, mit teilweise deutlichen Kompatibilitätsproblemen bzw. Features die nach dem Rom-Wechsel einfach nicht mehr funktionieren, für die man aber bezahlt hat.

 

[MiamXD]

Was mir grad noch so eingefallen ist: Wenn es wirklich manipulierte Standard Tags sind, dann kann man diese ja auch recht einfach in MusicBrainz oder ähnliche Datenbanken einschleusen, sodass nichtmal selbst von CDs erstellte MP3 Dateien sicher sind.


Den Hersteller will ich keineswegs aus der Pflicht nehmen, nur ist das ja bei Android prinzipiell seit 2008 ein Problem, weshalb ich seit einigen Jahren auch nur Geräte mit guter Update oder CFW Verfügbarkeit kaufe oder empfehle.
Würden es mehr Leute so handhaben, fiele es irgendwann auch bei den Herstellern (am Konto) auf. Tut aber kaum jemand.
Update technisch ist Apple besser aufgestellt, das streite ich nicht ab. Pauschal aber Android oder sarkastisch die "Android Freiheit" runterzuziehen, bringt auch nichts, den das OS kann am wenigsten für Hersteller, die nicht patchen

 

[Laggy.NET]

Einfach nur krass, wie so ne Lücke nun wieder verharmlost wird. Da behauptet man immer, die Apple User wären "Jünger". Das ist aber wie man sieht bei Android noch viel krasser. unfassbar.

Wie gesagt, kein System der Welt ist perfekt überall gibt es mehr als genug Sicherheitslücken. Fakt ist aber, dass sie geschlossen werden können, wenn sie kritisch sind egal ob Windows, Linux, iOS oder Mac OS, die Lücken werden geschlossen.
Android ist dank des grandiosen Update systems das einzige große OS, bei dem die Fixes von google nicht alle Endkunden erreichen können.


Da wird hier sicherheit und Datenschutz immer groß geschrieben und von jedermann propagiert, aber bei Android ist es jetzt einfach mal egal oder was?
WTF ist nur los mit euch?

Was mir grad noch so eingefallen ist: Wenn es wirklich manipulierte Standard Tags sind, dann kann man diese ja auch recht einfach in MusicBrainz oder ähnliche Datenbanken einschleusen, sodass nichtmal selbst von CDs erstellte MP3 Dateien sicher sind.


Den Hersteller will ich keineswegs aus der Pflicht nehmen, nur ist das ja bei Android prinzipiell seit 2008 ein Problem, weshalb ich seit einigen Jahren auch nur Geräte mit guter Update oder CFW Verfügbarkeit kaufe oder empfehle.
Würden es mehr Leute so handhaben, fiele es irgendwann auch bei den Herstellern (am Konto) auf. Tut aber kaum jemand.
Update technisch ist Apple besser aufgestellt, das streite ich nicht ab. Pauschal aber Android oder sarkastisch die "Android Freiheit" runterzuziehen, bringt auch nichts, den das OS kann am wenigsten für Hersteller, die nicht patchen

Dass Android dafür an sich nichts kann ist ja logisch. Aber ein kunde kauft nicht Android oder Gerät XY sonder er kauft immer das gesamte Paket aus OS und Hardware, das eine Einheit bildet.

Das ist nunmal genau das, was die Leute bekommen und in Händen halten, auch wenn Android nichts dafür kann, ist Android an die Updatepolitik der Hardware hersteller gebunden.
Und dass die leute CM installieren sollen ist ja wohl ein Scherz? Erstens verliert man seine Garantie, zweitens ist das mit Aufwand und technischem Know how verbunden und drittens sind aktuelle CM Builds mit der aktuellen Android Version meistens nur als Nightly Erhältlich und entsprechend voll von Bugs.

Mensch, die meisten leute sind ja schon froh, wenn sie WhatsApp und Facebook installiert bekommen. Es gibt genügend Leute, die einfach keine Ahnung von den basics und Technik im allgemeinen haben, sich gar nicht damit befassen, weil es sie einfach nicht interessiert. Da ist es völlig egal, ob es einfach oder schwer ist, ne Custom ROM zu installieren, wenn die leute nicht aus eigenen Antrieb sagen, dass sie genau das auch tun wollen. Viele wissen nichtmal, dass es sowas gibt. Wie gesagt, das ist keine Dummheit, sondern einfach mangelndes interesse. Nicht jeder der Technik nutzt, interessiert sich auch dafür. Aber scheinbar begreifen das viele hier nicht.


Man kann ja von den Systemen halten, was man will, aber das Update Problem ist nunmal ein gravierender und nun auch sehr kritischer nachteil der Android Geräte. Das muss man einfach akzeptieren und da gibts auch nichts dran schön zu reden.