Jetzt Android-Geräte auf Stagefright-Lücken testen!
Mit einer kostenlosen App kann man überprüfen, ob die eigenen Android-Geräte über die Stagefright-Lücken angreifbar sind.
![Stagefright-Test](https://heise.cloudimg.io/width/534/q85.png-lossy-85.webp-lossy-85.foil1/_www-heise-de_/imgs/18/1/5/6/3/2/2/7/stagetest-a6475a34491a0dc1.png)
- Ronald Eikenberg
Ob das eigene Android-Gerät anfällig für die kritischen Stagefright-Schwachstellen ist, können Nutzer nun mit der kostenlosen Stagefright Detector App überprüfen. Die App klopft das Android-System auf insgesamt sieben Sicherheitslücken ab, die in dem Multimedia-Framework Stagefright klaffen können. Die Chancen, dass der Detector mehrere Treffer landet, sind groß: Nur wenige Hersteller haben die schützenden Security-Patches bereits an ihre Kunden ausgeliefert.
Viele Angriffswege
Die App stammt von der Sicherheitsfirma Zimperium, deren Mitarbeiter Joshua Drake die Lücken entdeckt und auch die Patches entwickelt hat. Drake stellte seine Erkenntnisse am gestrigen Mittwoch auf der Hackerkonferenz Black Hat in Las Vegas vor; zahlreiche Details sind allerdings bereits im Laufe der vergangenen zwei Wochen durchgesickert. Das Stagefright-Framework ist seit der im Jahr 2010 veröffentlichten Android-Version 2.3 (Gingerbread) allgegenwärtig. Sowohl Android als auch Apps nutzen es zum Abspielen von Multimedia-Dateien.
Da Stagefright vielerorts zum Einsatz kommt, gibt es auch zahlreiche Wege, die Lücken auszunutzen: etwa durch MMS-Nachrichten, Webseiten, E-Mails, USB, Bluetooth und NFC. Wahrscheinlich gelingt ein Angriff auch über Messaging-Apps wie WhatsApp oder Facebook Messenger. Der gefährlichste Angriffsvektor ist MMS, da ein Angreifer das Smartphone seines Opfers in spe durch das Zusenden einer MMS-Nachricht kompromittieren kann – ohne dass sein Opfer die Nachricht öffnet oder auch nur etwas davon mitbekommt.
Laut Zimperium läuft der MMS-Client bei etwa jedem zweiten Android-Smartphone mit Systemrechten, der Angriffscode kann sich also ungehindert austoben. Aus diesem Grund sollte man in den Android-Einstellungen das automatisch Abrufen von MMS abschalten, wenn der Stagefright Detector anschlägt. Neben der Detector-App hat Zimperium auch noch eine Reihe von Video-Dateien herausgegeben, welche die einzelnen Stagefright-Lücken ausnutzen. Sie bringen den Mediaserver von Android zum Absturz, was man aber nur im Debugger nachvollziehen kann. (rei)