Erst vor wenigen Tagen wurde eine Sicherheitslücke bekannt, die vor allem die Galaxy S8-Reihe betroffen hat. Nun gibt es die nächste Sicherheitslücke, die wiederum alle Modelle von Samsung betrifft.
Entdeckt wurde die Sicherheitslücke in der Skia-Bibliothek für die Bearbeitung von Grafiken durch die Sicherheitsexperten von Project Zero.
Bekannt wurde die Sicherheitslücke bereits im Januar, aber erst jetzt veröffentlicht, da man bei Samsung erst jetzt einen Fix für diese Lücke im Mai-Sicherheitsupdate integriert hat. Anhand dieser Schwachstelle war es Angreifern möglich, die vollständige Kontrolle zu erlangen.
Das Android*-Betriebssystem verwendet intern die Skia-Bibliothek [1], um Bilder über verschiedene Standard-APIs wie BitmapFactory [2] oder BitmapRegionDecoder [3] in das System zu laden und anzuzeigen. Skia wird daher verwendet, um sowohl integrierte Grafikressourcen zu verarbeiten, die in APKs eingebettet sind, als auch andere Bilder, die während der normalen Verwendung vieler Anwendungen angezeigt werden, einschließlich Dateien aus nicht vertrauenswürdigen Quellen (z. B. über MMS, Chat-Apps oder E-Mails gesendet; heruntergeladen) in einem Webbrowser und dann in der Galerie oder in der App “Eigene Dateien” usw. angezeigt. In meinen Tests verarbeitet die Standard-Samsung-Nachrichten-App beispielsweise den Inhalt eingehender MMS-Nachrichten ohne Benutzerinteraktion, und ich gehe davon aus, dass andere ähnliche Angriffsmethoden vorhanden sind. Aufgrund seiner Belichtung und der Tatsache, dass es in C ++ geschrieben ist, bilden Skia und seine bildbezogenen Komponenten eine Fernsteuerung
Project Zero
Nutzern wird dringend empfohlen, das Mai-Sicherheitsupdate für ihre Geräte zu installieren sofern es verfügbar ist. Die Galaxy S20-Reihe sowie die Galaxy S10-Reihe haben den Mai-Sicherheitspatch bereits erhalten. Sollte das Update noch nicht zur Verfügung stehen, solltet ihr erstmal auf die Verwendung sensibler Apps verzichten. Dies gilt auch dann, wenn ihr ein Smartphone nutzt, welches keine Updates mehr erhält.
Quelle: Project Zero
via: appdated.de
