Zero-Day-LĂĽcke in Qualcomm-Mobilprozessoren bereits vereinzelt angegriffen
Etliche Snapdragon-Chips für Android-Geräte weisen eine als kritisch eingestufte Sicherheitslücke auf. Sie wurde schon vereinzelt und gezielt ausgenutzt.
SicherheitslĂĽcken bedrohen Android-Smartphones.
(Bild: Bild erstellt mit KI in Bing Designer durch heise online / dmk)
Qualcomm hat eine Zero-Day-Sicherheitslücke bei einer Reihe von Mobilprozessoren und Funktechnikchips bestätigt, die von böswilligen Angreifern bereits ausgenutzt wird. Details gibt es bislang kaum, aber da viele der betroffenen Chips für Android-Smartphones und -Tablets schon einige Jahre auf dem Markt sind, könnte es etliche Angriffsversuche gegeben haben. Qualcomm geht allerdings von begrenzten und gezielten Angriffen aus.
Die bislang unbekannte Zero-Day-Lücke wird als CVE-2024-43047 geführt und könnte unberechtigten Zugriff auf den Speicher des Geräts ermöglichen. Qualcomm gibt der Schwachstelle eine hohe Sicherheitsbewertung, die US-Cybersicherheitsbehörde CISA stuft sie als kritisch ein. Nach Angaben Qualcomms wurde sie Ende Juli dieses Jahres entdeckt. Der Konzern hat seine Kunden Anfang September entsprechend informiert und einen Patch zur Verfügung gestellt, den die Hersteller der Android-Geräte ausspielen sollen.
Zu den von der Sicherheitslücke betroffenen Qualcomm-Plattformen zählen neben WLAN- und Bluetooth-Chips auch die bei Android-Smartphones vielfach genutzten Mobilprozessoren Snapdragon 660, 680, 685, 865, 870, 888 und 888+ sowie die Snapdragon 8 Gen 1 Mobilplattform. Der Snapdragon 660 wurde bereits 2017 eingeführt und war vor allem bei Smartphones der Mittelklasse chinesischer Hersteller wie Xiaomi sehr beliebt. Der Snapdragon 888+ war der High-End-Chip Qualcomms des Jahres 2021, im Jahr darauf ist der Snapdragon 8 Gen 1 erschienen.
Entdeckt von Google und Amnesty International
Die Zero-Day-Lücke gefunden haben Googles Sicherheitsforscher der "Threat Analysis Group", die sich auf staatlich unterstützte Cyberattacken fokussiert, und das "Security Lab" der Menschenrechtsorganisation Amnesty International, das die Gesellschaft vor digitaler Überwaschung und Spyware schützen will. Beide Organisationen bestätigen, dass die Sicherheitslücke angegriffen wurde. Während Google den Angaben Qualcomms laut Techcrunch nichts hinzufügen wollte, verspricht Amnesty International, dass ein entsprechender Untersuchungsbericht in Kürze erscheinen wird.
Qualcomm wollte keine Einzelheiten zu den Angriffen auf Basis dieser SicherheitslĂĽcke nennen und verweist auf die Google-Sicherheitsforscher und Amnesty International, sodass weitere Informationen dazu noch ausstehen. Allerdings ist wohl nicht von breiten Angriffen auszugehen, da beide Organisationen diese Zero-Day-LĂĽcke fĂĽr begrenzte und gezielte Attacken geeignet halten. Somit dĂĽrften lediglich einzelne Personen angegriffen worden sein und keine groĂźe Anzahl Nutzer.
(fds)