Die Trend Micro-Forscher haben die Sicherheitslücke bereits am 19. Mai an Google gemeldet, die das Android Security Team seit dem 21. Mai unter der Bezeichnung ANDROID-21335999 und seit dem 22. Mai zusätzlich unter der Bezeichnung CVE-2015-3823 führt. Das Android Engineering Team hat am 31. Juli eine Sicherheitsaktualisierung veröffentlicht. Jetzt liegt es an den Geräteherstellern, das Update ihren Kunden zur Verfügung zu stellen.
Wie bei der bekannten Sicherheitslücke Stagefright sind im aktuellen Fall rund 9 von 10 Android-Geräten weltweit betroffen, auf denen die Android-Versionen 4.0.1 (Jelly Bean) bis 5.1.1 (Lollipop) installiert sind. Um sich zu schützen, müssen Besitzer von Android-Geräten sehr vorsichtig sein und dürfen auf keinen Fall unbekannte Webadressen anklicken oder Apps zweifelhafter Herkunft - zum Beispiel aus Android-Stores von Drittanbietern - installieren. Denn die Sicherheitslücke lässt sich über beide Wege ausnutzen. Das hat Trend Micro in einem Proof-of-Concept gezeigt. Der schwache Trost: Im Augenblick hat Trend Micro noch keine bösartigen Apps oder Websites entdeckt, die diese Lücke ausnutzen. Allerdings ist es nur eine Frage der Zeit, bis dies der Fall sein wird, die riesige Zahl der möglichen Opfer ist für Cyberkriminelle einfach zu verlockend.
Weitere Informationen
Weitere Informationen zur beschriebenen Sicherheitslücke sowie zum erwähnten Proof-of-Concept sind im deutschsprachigen Trend Micro-Blog erhältlich.