Eine neue Sicherheitslücke soll 95 Prozent aller Android-Geräte bedrohen, insgesamt rund 950 Millionen. Um sie auszunutzen, genügt es, eine MMS mit einer manipulierten Mediendatei zu verschicken.
Schuld sei laut den Security-Forschern von Zimperium eine Lücke in der C++-Bibliothek Stagefright, die seit Android 2.2 Medieninhalte verarbeitet. Während die neueren Android-Geräte Mechanismen mitbringen, um sie vor Exploits zu schützen, seien Geräte vor Version 4.1 stärker gefährdet.
Die Trojaner lassen sich per MMS verbreiten, die Angreifer müssen dafür allerdings eine Mediendatei so manipulieren, dass sie eine Memory-Corruption bei der Bibliothek auslöst. Bereits die Vorschau auf den Medieninhalt kann den Exploit auslösen. In Extremfällen könnten Angreifer laut Zimperium auch die MMS wieder löschen, so dass der Nutzer nur eine Benachrichtigung erhält, nicht aber die MMS selbst.
Google stellt bereits Patches für die Lücke zur Verfügung, wann die Hersteller der verschiedenen Android-Geräte diese ausliefern, liegt allerdings nicht in der Hand des Unternehmens. Zimperium will die Lücke auf der Black Hat USA und der Defcon 23 Anfang August vorstellen. Die mit dem Problem verbundenen CVEs sind CVE-2015-1538, CVE-2015-1539, CVE-2015-3824, CVE-2015-3826, CVE-2015-3827, CVE-2015-3828 und CVE-2015-3829.
