Google findet, dass Dutzende von Android-Geräten “still” kompromittiert werden können

Google entdeckte, dass Dutzende von Android-Geräten aufgrund mehrerer Zero-Day-Schwachstellen in Samsungs Exynos-Modems ohne jegliche Benutzerinteraktion kompromittiert werden können. Zu den betroffenen Geräten gehören Smartphones, Wearables und sogar Fahrzeuge.

Als TechCrunch-Berichte(Öffnet in einem neuen Fenster)wurden insgesamt 18 Zero-Day-Schwachstellen von Googles Project Zero-Team von Sicherheitsanalysten entdeckt. Vier davon sind schwer genug, um eine Remote-Code-Ausführung vom Internet auf das basierte Band zu ermöglichen, was bedeutet, dass ein Angreifer nur die Telefonnummer eines Opfers benötigt, um sein Mobiltelefon zu kompromittieren – es ist keine Benutzerinteraktion erforderlich.

Tim Willis, Leiter von Project Zero, erklärt in a Blogeintrag(Öffnet in einem neuen Fenster) dass „wir glauben, dass qualifizierte Angreifer mit begrenzter zusätzlicher Forschung und Entwicklung in der Lage sein würden, schnell einen operativen Exploit zu erstellen, um betroffene Geräte unbemerkt und aus der Ferne zu kompromittieren.“

Da die Schwachstellen in Exynos-Modems gefunden werden, sind Dutzende Geräte betroffen. Google hat die folgende Liste von Produkten bereitgestellt, die kompromittiert werden können:

• Googles eigenes Pixel 6, Pixel 6 Pro, Pixel 6a, Pixel 7 und Pixel 7 Pro

• Samsung-Geräte der Serien S22, M33, M13, M12, A71, A53, A33, A21, A13, A12 und A04

• Vivo-Geräte der Serien S16, S15, S6, X70, X60 und X30

• Alle Wearables, die den Exynos W920-Chipsatz verwenden

• Alle Fahrzeuge, die den Chipsatz Exynos Auto T5123 verwenden

Maddie Stone, eine Sicherheitsforscherin im Project Zero-Team, in einem Tweet bestätigt(Öffnet in einem neuen Fenster) dass Samsung 90 Tage Zeit hatte, um einen Patch zu veröffentlichen, aber keiner kam.

Da es so viele verschiedene Geräte gibt, die von diesen Schwachstellen betroffen sind, wird der Patch-Zeitplan variieren. Google hat einen Fix für Pixel-Geräte in die Sicherheitsupdate vom März 2023(Öffnet in einem neuen Fenster)aber es muss installiert werden und einige Pixel-Modelle warten noch darauf, dass es ankommt (Pixel 6, Pixel 6 Pro und Pixel 6a).

Wenn Sie eines der betroffenen Geräte besitzen und nicht auf einen Sicherheitspatch warten möchten, rät Google, WLAN-Anrufe und Voice-over-LTE (VoLTE) in Ihren Geräteeinstellungen zu deaktivieren. Es lohnt sich auch zu prüfen, ob auf Ihrem Gerät Updates installiert werden müssen.

In Bezug auf die anderen 14 Zero-Day-Exploits, die Project Zero gefunden hat, sagt Willis, dass sie „nicht so schwerwiegend sind, da sie entweder einen böswilligen Mobilfunknetzbetreiber oder einen Angreifer mit lokalem Zugriff auf das Gerät erfordern“. Samsung muss jedoch noch einen Patch erstellen, um diese Sicherheitslücken so schnell wie möglich zu beheben.

Googles Pixel 7 und Pixel 7 Pro im Test