Stagefright: Telekom schaltet MMS wegen Android-Schwachstelle ab

Die Telekom hat den automatischen Empfang von Multimedia-Nachrichten auf dem Smartphone für ihre Mobilfunkkunden vorübergehend abgeschaltet. Mit der Maßnahme will das Unternehmen Kunden mit Android-Smartphones vor Angriffen über die Stagefright genannte Schwachstelle schützen. Der manuelle Empfang ist nach wie vor möglich.

von Anja Schmoll-Trautmann am 5. August 2015, 18:54 Uhr

Auf die Stagefright genannte Lücke wurde Ende Juli erstmals von der Sicherheitsfirma Zimperium hingewiesen. Ihren Namen hat die Schwachstelle von der gleichnamigen Komponente in der Mediaplayer-Engine von Android. Über die Lücke sollen sich mit einer MMS beliebige Daten stehlen lassen, die auf dem Smartphone vorliegen. Davon sollen alle Android-Versionen ab 2.2 betroffen sein.

Wie die Lücke ausgenutzt werden kann, unterscheidet sich je nach verwendeter Messaging-App. Teilweise reicht es bereits aus, die Nachricht aufzurufen, ohne jedoch das Video anzusehen. Wer Google Hangouts als Messaging-App einsetzt, wird sogar alleine durch den Empfang infiziert, da dies Videos direkt bei Erhalt dekodiert, um sie fürs Abspielen vorzubereiten.

Die Deutsche Telekom hat jetzt reagiert und blockiert ab sofort vorübergehend den automatischen Download von MMS und begründet diesen Schritt mit der von der kürzlich entdeckten Sicherheitslücke Stagefright ausgehenden Gefahr.

Von der Blockade der Telekom sind nicht nur Nutzer eines Android-Smartphones, sondern auch Besitzer von Telefonen mit anderen Betriebssystemen betroffen. Wie ein Sprecher des Unternehmens auf Anfrage von ZDNet bestätigte, ist dies aus technischen Gründen nicht anders möglich.

Ohne Zutun des Nutzers können MMS jetzt nicht mehr einfach heruntergeladen werden. Kunden, denen eine MMS geschickt wurde, erhalten stattdessen eine SMS. Darin heißt es „Sie haben eine neue MMS. Sie können diese unter folgendem Link innerhalb von 3 Tagen herunterladen.“ Außerdem werden die für die Website erforderlichen Zugangsdaten übermittelt.

Ein Google-Sprecher bestätigte damals gegenüber CNET, dass der Konzern den Herstellern Patches zur Verfügung gestellt habe. Welche aber ihre Geräte wie aktualisieren, konnte er nicht erklären. Die Telekom hat jetzt ebenfalls mitgeteilt, dass sie mit den Herstellern darüber spricht, wie die Sicherheitslücke behoben werden kann. Sobald es eine Lösung gibt, werde wieder auf den gewohnten MMS-Versand umgestellt.

Die Maßnahme der Telekom zeigt zwar Einsatzwillen, es ist aber fraglich, ob damit in Bezug auf die Lücke alle Probleme aus der Welt geschafft sind. Sicherheitsforscher von Trend Micro haben nämlich bereits festgestellt, dass sich die Sicherheitslücke nicht nur mit MMS ausnutzen lässt. Ihnen zufolge sind Exploits auch über entsprechend präparierte Websites und Apps möglich.

Laut Trend Micro kann der Android-Dienst Mediaserver nicht korrekt mit einer deformierten MP4-Datei umgehen. „Wenn der Mediaserver eine solche Datei zu verarbeiten hat, kann es einen Heap Overflow auslösen und Daten im Heap überschreiben“, führt Sicherheitsforscher Wish Wu in einem Blogeintrag aus. „Das kann eine Ausführung von Code bewirken, die wiederum zum Download einer App auf das Gerät führen kann.“

Wu und seine Kollegen demonstrierten mit einer präparierten MP4-Datei, dass sich damit der Heap des Mediaservers zum Absturz bringen lässt. Ein Angreifer könnte aber darüber hinaus einen speziellen Datenblock schaffen, um den Heap zu füllen und Kontrolle über die Code-Ausführung zu bekommen. Außerdem betteten sie die gleiche manipulierte MP4-Datei in eine HTML-Datei ein und luden sie auf einen Webserver. Wurde nun zur Betrachtung die Komponente WebView genutzt, ergaben sich die gleichen Probleme. Die MP4-Datei habe auch dann einen Heap Overflow verursacht, wenn im Mobilbrowser Chrome das Vorausladen und die automatische Wiedergabe von mit dem Video-Tag eingebetteten Videos deaktiviert wurden.

[Mit Material von Peter Marwan, ZDNet.de]