Kritische Sicherheitslücke bei Samsung-Smartphones

In etlichen Smartphones von Samsung, die mit dem Google-Betriebssystem Android laufen, ist eine gefährliche Sicherheitslücke aufgetaucht. Die Lücke kann nach Einschätzung von Heise Security dazu verwendet werden, Schadcode durch bösartige Apps einzuschleusen. Es geht demnach um Geräte, die mit den Samsung-Chips Exynos 4210 und 4412 arbeiten. Konkret betroffen sind die Samsung-Modelle Galaxy S3, Galaxy S2, Galaxy Note 10.1, Galaxy Tab 7.7 und das Galaxy Note 2 sowie das Meizu MX-4 und das Lenovo K860. Weiterhin könnten auch alle anderen Geräte mit den beiden Exynos-Prozessoren betroffen sein.

Die Sicherheitslücke wurde durch einen Eintrag im XDA-Developers-Forum öffentlich gemacht. In dem Beitrag wurde dokumentiert, dass alle Nutzer über die Gerätedatei /dev/exynos-mem Root-Rechte erlangen und auf den gesamten Speicher der Smartphones zugreifen können - und zwar sowohl mit Lese- als auch Schreibrechten. «Das betrifft auch die kritischen Speicherbereiche des Kernels», heisst es bei heise.de. Die Lücke soll einfach auszunutzen sein.

Sicherheitslücke betrifft Datei für Kamera-App und HDMI-Ausgabe

Laut XDA-Forum dient die Gerätedatei unter anderem für die Kamera-App und für die HDMI-Ausgabe. Es gebe auch schon eine erste App, die den Speicherzugriff im Sinne des Smartphone-Besitzers nutze: Sie ermögliche dann das Schliessen der Lücke, woraufhin jedoch die Kamera nicht mehr genutzt werden könne. Ein weiterer Fix aus dem gleichen Forum soll die Lücke ebenfalls schliessen, in diesem Fall soll die Kamera aber nutzbar bleiben.

Einzelne Entwickler behaupten im Forum, dass sie das Problem schon vor Monaten an Samsung gemeldet, aber darauf keine Antwort bekommen hätten. Unter professionellen Entwicklern ist es normalerweise üblich, Sicherheitslücken zuerst an den Hersteller zu melden, damit dieser die Lücke schliessen kann, bevor das Problem an die Öffentlichkeit kommt und dann von einer grösseren Hackergemeinde sowie kriminellen Crackern ausgenutzt werden könnte. Andere Entwickler empfehlen, bei einer Nichtbeachtung seitens des Hardwareherstellers unbedingt auch Google über ein solches Problem in Kenntnis zu setzen.

(bert/teltarif.ch)