Die "Mutter aller Bugs" - Stagefright // Anroid

Die bis dato schwerwiegenste Sicherheitslücke unter Android.

Stagefright wird der Bug deswegen genannt weil das Multimedia-Framework von Android diesen Namen hat. Die Lücke ist deswegend so schwerwiegend, weil das Multimedia-Framework bis vor kurzen noch über sehr viele Rechte verfügte.

Ausnutzen lässt sich dieser Bug, laut Trend Micor sehr einfach, es genügt ein dirty MP4 file welche physikalisch abgspielt wird oder auch nur in einem Browser angezeigt wird(selbst das trifft auch nicht immer zu sondern ist App abhängig).Durch dieses Dirty-Mp4 file wird ein „Speicherüberlauf“ herbeigeführt und dass shielding(Sandbox) der apps funktioniert nicht mehr. Nach dem „Speicherüberlauf“ kann beliebiger code ausgeführt werden (Was bei einem OS das Todesurteil ist )
Im Versuchsaufbau von Trend micro half selbst das Deaktivieren von videos im Browser(Chrome) nichts, chrome crashte und der Bug entfaltete trotzdem seine Wirkung.
Weiters lässt sich der Bug auch über eine Dirty-MMS ausnutzen!

Bedingt durch den Aufbau des „BUGS“ hängt es auch ab mit welcher App man ein Dirty-MMS ließt, oder dirty Mp4 files empfängt. Bei Hangouts genügt schon der Empfang eines Dirty Mp4 files, weil die App media files schon vor bearbeitet, um ein flüssigeres abspielen zu gewärhleisten.

Was kann man machen?
Wenn man nicht eine aktuelle CM version hat, oder eine AOSP version, muss man auf ein Herstellerupdate warten.

Leider werden das viele Android geräte nicht bekommen.Der Stagefright Bug zeigt jetzt nochmals auf wie „krank“ die update Politik von Android ist und wie gefährlich es sein kann

Welches Versionen sind betroffen?
Nach jetzigem Standpunkt ab 2.2

Stand der Fixes bei CM:
https://plus.google.com/+CyanogenMod/posts/7iuX21Tz7n8

*******************************************************************************************Update******************************************************************************************************************
Man kann testen ob sein eigenes Device schon gefixed ist oder nicht dazu gibt es eine App die die ganzen schwachstellen abtestet!
https://play.google.com/store/apps/details?id=com.zimperium.stagefrightdetector


Quellen:
Android-Schwachstelle: Stagefright-Exploits wohl bald aktiv - Golem.de
Simple Text Message to Hack Any Android Phone Remotely
https://www.ibtimes.co.uk/stagefrig...ol-your-smartphone-by-sending-message-1512909
Stagefright-Lücken: Proof-of-Concept kursiert im Netz, Lage für Android-Nutzer spitzt sich zu | heise Security

Danke für diesen Hinweis. War mir so noch nicht bekannt ist aber entsprechend interessant!

Ein weiterer Grund, mein LG G3 endlich mal zu rooten, um von dieser schändlichen Bloatware (wenigstens zur Hälfte) wegzukommen.
Wäre um so schöner, wenn CM "unabhängig" geblieben wäre.

Danke jedenfalls für die Information!

Heute morgen wurde für einige Nexus-Geräte ein OTA-Update ausgerollt, welches die Lücke schließen soll. Habe jedenfalls mein Nexus 5 sofort aktualisiert, das Nexus 7 (2013 LTE) muss wohl noch warten.

Mein Samsung sprudelt schon vor lauter Sicherheitslücken
Aufs Update kann ich lang warten^^

Mei MS ist es klar geregelt wie lange man updates bekommt, bei apple ist es auch klar geregelt!
Windows phone und adroid devices von dritte herstelleren außer googles nexus serie müssen bei rom updates immer beten ,dass diese es bekommen!(einfach krank)
(geplante Obsoleszenz weil ich keine bugfixes mehr bekomme WTF!!!!!)

Nur einmal ein vergleich, mein erstes Android handy war ein nexu s, als google den support eingestellt hatte war es auf 4.3 und es gibt klar keine updates mehr.
Hardware technisch war 4.4 locker drinnen und es war damit sogar flotter, hab es dann verkauft. Der Nutzer der es jetzt hat, bekommt noch immer updates seiten CM und ist auch gegen den Bug immun !

Euda schrieb:

Heute morgen wurde für einige Nexus-Geräte ein OTA-Update ausgerollt, welches die Lücke schließen soll. Habe jedenfalls mein Nexus 5 sofort aktualisiert, das Nexus 7 (2013 LTE) muss wohl noch warten.

Zum Vergrößern anklicken....

Da hat google aber lange gebraucht, der patch für stagefright is schon lange draußen.(für roms oder wenn man sich selbs roms builded, für cm-roms ist der patch auch schon lange eingepflegt worden )
Die nutzer sind zu bemitleiden die keine software updates mehr bekommen Als würde man heute mit Xp los starten und ins internet gehen

S754 schrieb:

Mein Samsung sprudelt schon vor lauter Sicherheitslücken
Aufs Update kann ich lang warten^^

Zum Vergrößern anklicken....

Wenn man sich in die Abhängigkeit eines hersteller lässt und hofft dass dieser das system durchpatched, kann man nur verlieren(auf smartpohnes bezogen, Sammsungs devices zb. werden ja im ein jahres zyklus in den ruhestand geschickt)
Mein Rad an dich, wenn dein samsung device nicht all zu alt ist, dann roote es und lade dir ein CM rom drauf und ein gescheites custom revovery!
Durch die ganzen bugs wirds rooten noch leichter

razzor1984 schrieb:

Wenn man sich in die Abhängigkeit eines hersteller lässt und hofft das dieser das system durchpatched, kann man nur verliere
Mein Rad an dich, wenn dein sammsung nicht all zu alt ist, dann roote es und lade dir ein CM rom drauf und ein gescheites custom revovery!
Durch die ganzen bugs wirds rooten noch leichter

Zum Vergrößern anklicken....

Kann ich leider nicht machen. Ich habe eine Samsung Smartwatch und ich brauche diese App vom Samsung Store dafür. Die kann ich mit anderen Roms nicht herunterladen und installieren. Läuft nur mit Samsung Original.

S754 schrieb:

Kann ich leider nicht machen. Ich habe eine Samsung Smartwatch und ich brauche diese App vom Samsung Store dafür. Die kann ich mit anderen Roms nicht herunterladen und installieren. Läuft nur mit Samsung Original.

Zum Vergrößern anklicken....

Dann müsste man deine smartwatch auch rooten nur dazu gibts noch keine custom fw die stabel ist meines wissens ^^

Deshalb - Cyanogenmod
Macht mir bis jetzt immer mehr Spaß als die Stock-Roms von Samsung (omg wie ich die hasse) und von LG (war eigentlich nicht so schlecht) .

Stern1710 schrieb:

Deshalb - Cyanogenmod
Macht mir bis jetzt immer mehr Spaß als die Stock-Roms von Samsung (omg wie ich die hasse) und von LG (war eigentlich nicht so schlecht) .

Zum Vergrößern anklicken....

Die stock roms von Samsung sind mit unnötiger software voll gemüllt, bestes bsp wars glaxy S4 mini. Auf dem teilen wäre locker 4.4 gelaufen nur die ganze unnötige software hat dann den ram voll gemüllt und samsung hat anschließend gesagt:" sorry technisch nicht machbar" WTF. Wenn man sich die hw von S4 mini anguckt, die cpu & gpu ist vollens ok und der 1 gb ram mein gott ein moto G hatte nicht mehr und da lief 4.4 racketen schnell !!!!

Man müsste es fool proof machen, dass auch leien sich das Handy rooten können und sich zb CM draufspielen können!

Tja Samsung hat es auch verkackt, 4.4 auf sein bestes Smartphone aller Zeiten zu spielen - Dem S3
Hardwaremäßig läuft auch 5.0 super

Bei samsung hat es genauso system wie bei vielen anderen Herstellern, wenn man einmal das teil verkauft hat, wollte diese nichts mehr hineinivestieren. Die software wird alibi halber 1 Jahre supportet und dann ist es aus Sicht des Herstellers tot. Noch ein Bsp seiten LG - "LG Optimus G" super Smartphone quasi ein nexus 5, war eine glatttte Ewigkeit auf 4.1.2 und erst dieses Jahr hat LG gnadenhalber es noch auf 4.4 geupdated (darüber muss man froh sein ^^)
Die zu grundenligende HW is top, da geht in Zukunft noch wirklich viel, LG wird es aber nicht mehr machen, auser man schaut sich nach einem custom rom um. Das werden leider viele nicht machen und die geplante obsoleszens greift vollens zu.

Ich hoffe inständig, dass sich bei der Updatepolitik etwas ändert !!!!!!