QuadRooter: Sicherheitslücken in Qualcomm-Chipsets betreffen fast eine Milliarde Android-Geräte

artikel_androidEs wurden wieder einmal neue Sicherheitslücken entdeckt, die etliche Android-Smartphones betreffen. Vier Lücken wurden entdeckt, die über eine normale App ohne besondere Berechtigung ausgenutzt werden können. Wird eine der Lücken erfolgreich ausgenutzt, erhält der Angreifer Root-Zugriff auf das betroffene Smartphone und hat es quasi in seiner Hand. Drei der vier Lücken wurden mit dem aktuellen Security-Patch bereits gestopft, die vierte Lücke bleibt aber noch bis zum nächsten Update (September) bestehen. Laut Check Point sind fast eine Milliarde Geräte betroffen, die mit einem Chipset von Qualcomm ausgestattet sind, darunter auch Galaxy S7, Nexus 6P, Nexus 5X, BlackBerry Priv, HTC 10, OnePlus 3, LG G5 und viele weitere. Quasi jeder Hersteller soll betroffene Smartphones im Portfolio haben.

Qualcomm selbst hat Patches für die Lücken bereits bereitgestellt, weiß seit längerer Zeit über die Lücken Bescheid. Hier zeigt sich aber wieder das Android-Problem. Android selbst ist hier nicht schuld, sondern die Qualcomm-Treiber. Ein Update dieser erfordert die Mitarbeit der Hersteller und der Netzbetreiber, die ein entsprechendes Update absegnen müssen. Das mag bei größeren Herstellern noch funktionieren, bei kleineren, die ihre Smartphones direkt ab Werk sich selbst überlassen (sprich: keine Updates mehr bereitstellen) aber eher nicht. Nutzer haben in diesem Fall wenig bis keine Chancen, um wieder ein sicheres Smartphone zu besitzen.

Falls Euch das Ganze bekannt vorkommt: Im Mai gab es schon einmal ein Problem mit Qualcomm-Code. Solltet Ihr damals keinen Patch erhalten haben, dürfte es auch diesmal unwahrscheinlich sein. Google selbst wird die letzte verbleibende Lücke mit dem September-Update schließen, zumindest mit Nexus-Geräten seid Ihr dann also wieder auf der sicheren Seite. Einen wirklichen Schutz vor diesen Lücken gibt es nicht. Da sich manipulierte Apps auch nicht durch das Einfordern ungewöhnlicher Rechte auffällig machen, ist dies umso problematischer.

(via ZDNet)

Gefällt dir der Artikel? Dann teile ihn mit deinen Freunden.

Technik-Freund und App-Fan. In den späten 70ern des letzten Jahrtausends geboren und somit viele technische Fortschritte live miterlebt. Vater der weltbesten Tochter (wie wohl jeder Vater) und Immer-Noch-Nicht-Ehemann der besten Frau der Welt. Außerdem zu finden bei Twitter (privater Account mit nicht immer sinnbehafteten Inhalten) und Instagram. PayPal-Kaffeespende an den Autor.

28 Kommentare

  1. Zum Montag spiel ich heute mal „Wünsch-dir-was“: Wäre ja toll, wenn in dem Patch gleich das Update für die Nutzung der Galileo-Satelliten mit drin wäre und der Leidensdruck groß genug für die Hersteller und Provider wird, dass der Patch an so viele Geräte wie möglich raus geht.

  2. Das S7 dürfte hier eigentlichen nicht betroffen sein, da wir ja die Exynos Variante haben.

  3. Es gibt auch eine App von Check Point um sich selbst auf Quadrooter zu testen: https://play.google.com/store/apps/details?id=com.checkpoint.quadrooter

    Ein aktuelles Nexus 5X (Android 6, August security update) scheint nicht vollstandig gepatcht zu sein. Es hat noch diese Kernellücke https://www.codeaurora.org/invalid-path-check-ashmem-memory-file-cve-2016-5340

  4. Bevor ich jetzt in Panik verfalle, würde ich erst mal das hier lesen: https://plus.google.com/+AndreasProschofsky/posts/BnELjGa7tAR

  5. Samsung Galaxy S7 Edge mit Exynos ist wie Leif vermutet hat nicht betroffen, gerade mit dem QuadRooter Scanner den therealmarv verlinkt hat getestet.

  6. Mal wieder eine theoretische Proof-of-Concept-unter-Laborbedingungen-Bedrohung, damit sich wieder ein paar Wichtigtuer wichtig machen und ein paar Zartbesaitete hyperventilieren können.

    Aber wie auch immer, es werden wieder genug Idioten auf die künstliche Panikmache reinfallen.

  7. Danke für die Info, @Ænno H. Jørgenson.

  8. Hey auf N24 raten die Experten einen Virenscanner zu benutzen. Jetzt hab ich Bauchschmerzen vor lachen. Nachher schreib ich denen mal eine Bewerbung. Scheint ja nicht viel können zu müssen als Experte bei denen.

  9. …Auch wenn ich nicht betroffen bin (und der Bug nicht ganz so schlimm wie es uns die Newsseiten weismachen wollen), es regt mich auf dass selbst Google eine ruhige Kugel schiebt und wie Windows früher auf ihren nächsten monatlichen Patchday warten. Anderseits wäre es ja vllt wenigstens für LG ein Grund, das G4 zu Updaten, wie sie es eigentlich mal versprochen hatten…

  10. Und wir wollen jetzt mal nicht spekulieren, warum diese Meldung (erst) jetzt lanciert wird, genau bevor die „neuen“ iPhones vorgestellt werden. Schließlich sind die Lücken lt. Artikel ja schon länger bekannt, also auch Qualcomm.

  11. „Nutzer haben in diesem Fall wenig bis keine Chancen, um wieder ein sicheres Smartphone zu besitzen.“

    Das ist doch Quark. Wie hoch ist den die Wahrscheinlichkeit das wenn man den Offiziellen App Store nutzt eine App installiert die so eine Lücke ausnutzen.

    Das ist doch nur ein Problem wenn man „Apps aus unbekannten Quellen“ Installiert.

    Ich finde es immer vollkommen falsch bei So was immer nur zu sagen Theoretisch kann es Milliarden treffen ohne Rücksicht auf Wahrscheinlichkeiten das es einen trifft.

    So was ist einfach nur Panikmache, Und Sensationsmache.

  12. Wie immer gilt: wer nur Apps aus dem Playstore installiert, ist sicher. Wer sich Apps von bedenklichen Quellen aufs Handy sideloaded, geht ein gewisses Risiko ein.
    Im Westen nichts neues…

  13. Ehrlichgesagt ist doch die Kehrseite der Medallie, dass jetzt alle, die ein passendes Qualcomm-Smartphone haben, jetzt ohne Probleme ich Gerät rooten können.
    …auch kein schlechtes Fazit des „Panikmache“. 🙂

  14. @Torti_78
    wat?? hier gehst um Qualcomm chips, wieso man nun exynos variant von s7 hier mit einbezieht ist mir schleierhaft.

  15. Das S7 wird international mit unterschiedlichen CPUs ausgeliefert. In den USA ist da z.B. ein Qualcomm Snapdragon 820 drin.

  16. Schröppke says:

    Der Artikel gibt nur wieder, was an Inhalt überall schon zu finden ist, ausser dass es hier keine Verhaltensvorschläge gibt. Es lesen auch wenig versierte Leute hier.

  17. Ja, das wurde im Artikel aber nicht erwähnt, dass z. B. bei uns das S7 gar nicht betroffen ist. Genau so wenig wurde erwähnt, dass man sicher ist, wenn man nur den Play Store benutzt. Also viel Lärm um nichts durch Weglassen relevanter Zusatzinfos.

  18. sunworker says:

    @NickS
    Klar die große Verschörung von Apple!!

    Dumm nur das es ständig Sicherheitsprobleme bei Android gibt, soviele neue iPhones kommen ja gar nicht raus.

    Und natürlich werden die auch aufgebauscht in den Medien, es geht ja um Klicks. Das passiert aber Apple genauso, nur haben die weniger Sicherheitsprobleme.

    Und weil ja gleich wieder die Android Fanboys kommen: Schade, kein iPhone hier. Ich habe ein Moto G4+.

    Deshalb ärgern mich diese ständigen Sicherheitsprobleme bei Android. Und es ist egal das es dieses(!) mal Qualcomm verbockt hat. Die nächste große Sicherheitslücke von Android steht schon in den Startlöchern …..

  19. Abgesehen davon, dass es Google vielleicht gelingt, die Apps im Store zu entdecken und zu löschen, die die Lücke ausnutzen. Die Annahme, dass man bei Apps aus dem Play Store generell sicher ist, ist absolut gefährlich!
    Apps im Play Store werden automatisiert geprüft. Das ist quasi so sicher, als würde man sich unter Windows Software von Unbekannten herunterladen, man hat ja schließlich einen Virenscanner, der den Download schon verhindert, wenn das gefährlich ist.
    Immerhin hat die „Entdeckerfirma“ ja auch schon das Prüftool in den Store bekommen, ohne dass dieses geblockt wurde (es sei denn, das prüft gar nicht auf die Lücke, sondern gegen eine Datenbank).

  20. @sunworker: Falsch gedacht. Apple’s iOS ist sogar das unsicherste mobile Betriebssystem mit den meisten Sicherheitslücken.

    Apple’s iOS und Mac OS X führen regelmäßig die Listen mit den meisten Sicherheitslücken an. Und zwar mit Abstand. Mehr Lücken als andere Betriebssysteme. Sogar mehr Sicherheitslücken als Adobe’s Flash Player:

    https://www.cvedetails.com/top-50-products.php?year=2015

  21. sunworker says:

    @Ken
    Sorry, das ist Unsinn. Es kommt halt nicht auf irgendwelche Anzahl von irgendwas an. Das ist völlig unabhängig von solchen Schwachsinns-Statistiken.

    Das iPhone System ist erheblich sicherer: Die Apps werdem z.B. bei Apple wesentlich besser gekapselt und im Shop auch besser geprüft. Auch die Verschlüsselung ist deutlich besser.

    Diese Sicherheitslücken bei Android wo das ganze System gekapert wird – noch dazu unbemerkt – gibt es beim iPhone weder in dieser Qualität noch in dieser Anzahl.

    Deshalb ist das iPhone das deutlich sichere System.

    Ich nutze trotzdem Android, weil es flexibler ist und ich bessere Auswahl an Geräten habe.

    Aber deshalb muss ich mir nicht einreden das es sicherer wäre.

  22. Übrigens führt sogar die US-Regierung die Apple-Systeme OS X und iOS offiziell als Spitzenreiter als unsicherste Systeme. Kann man z.B. in der NVD (National Vulnerability Database) der US-Regierung nachlesen:

    http://www.cnet.de/88145514/os-x-und-ios-spitzenreiter-bei-den-schwachstellen-2014/

  23. habe gerade gelesen dass es möglich is Geräte mit software und bestimmter hardware zu manipulieren. heißt das mein pc ist vllt auch gefährdet? es soll leute geben die das nich nur zum Spaß machen sondern so auch geld verdienen. ich hab auch nen pc.mein nachnar auch.und durch dieses Internet muss man angeblich nichmal an meinem pc ran sondern kann das von wo anders machen. ich bin jetzt irgendwie verunsichert.soll ich nich besser immer offline gehen? am besten warte ich mal ab was die im tv sagen

  24. sunworker says:

    @Ken
    Wie gesagt es kommt nicht auf die stumpfe Anzahl der Sicherheitslücken an. Sondern auf das gesamte System und natürlich auf die wirklich schlimmen Sicherheitslücken.

    Die Gründe warum iPhones sicherer sind hatte ich ja beschrieben.

    Das Apps einfach so -und unbemerkt- ein Gerät rooten können ist der Super Gau. Bei sowas ist Android leider ganz vorne.

    Wenn du weiter glauben willst das Android sicherer ist, weil da irgendwelche stumpf addierte Zahlen sind, kannst du das natürlich tun. Es ändert aber nicnts an der Realität.

  25. Weiß jemand wie lange es für das Nexus 5 noch Sicherheitsupdates geben wird. Android Nougat (7) wird es ja nicht mehr dafür geben. Aber wie lange kommen noch monatliche Security Patches für Marshmallow (6)?

  26. Wieso eigentlich maßen sich hier manche „Experten“ an, von Panikmache zu reden ? Mal den Artikel von Checkpoint gelesen ? Ne entsprechende App ohne weitere verdächtige Berechtigungen in den Playstore gebracht und voila: Root-Rechte. Was bitteschön ist daran Panikmache? Das ist eine Katastrophe-vor allem im Hinblick auf die Update Politik der Herstellung. Was rät man denn dann noch den betroffenen Nutzern ? Keine Apps installieren ! Ganz toll.

  27. Wenn eine App keine besonderen Rechte benötigt, diese Lücken auszunutzen, wieso sollte es dann sicher sein, nur Apps aus dem Play Store zu installieren? Ich habe da jetzt bis auf diesen Artikel noch keine anderen Berichte zu gelesen, meiner Ansicht nach ist das aber sehr wohl bedenklich.

    Die Frage, die ich mir stelle, ist eine andere: Bin ich mit bereits gerootetem Gerät und SuperUser App da sicherer unterwegs? SuperUser Apps fragen schließlich bei Zugriffen von Apps, die Root Rechte verlangen nach. Persönlich habe ich mit Xprivacy doch wohl noch mal zusätzlichen Schutz, wenn ich die App richtig verwende. Ich entziehe damit zum Beispiel jeder App, die das nicht benötigt, SuperUser Zugriff (und auch andere Rechte, die meiner Meinung nach von dieser App nicht benötigt werden) vor dem ersten Öffnen. Da erkennt man auch, auf was die jeweilige App sonst noch Zugriff haben kann und ob und wann die App bereits darauf zugegriffen hat.

    Will sagen:
    Wer ein gerootetes Smartphone ohne SuperUser hat, bemerkt davon natürlich definitiv nichts. Nutzer mit SuperUser sollten hingegen eine Meldung bekommen, wenn eine App solche Rechte benutzt. Oder irre ich?