LG hat zwei Schwachstellen in seiner Firmware für Android-Smartphones behoben. Eine der beiden Lücken befindet sich in einem LG-eigenen Prozess mit Systemrechten, der ungenügend geschützt ist und es deswegen beliebigen Apps erlaubt, die IMEI- und MAC-Adressen zu ändern, alle Daten auf dem Gerät zu löschen und es sogar permanent zu beschädigen. Die zweite Lücke befindet sich im Code für das WAP-Push-Protokoll und erlaubt es Angreifern, gefälschte SMS-Nachrichten an das Gerät zu schicken oder Nachrichten auf dem Smartphone zu manipulieren.

Zwei Schwachstelle auf einen Streich

Die Lücke, welche den LG-Prozess LGATCMDService betrifft (CVE-2016-3117) kann nur lokal ausgenutzt werden. Ein Angreifer muss also schon Schadcode auf dem Gerät haben – etwa eine Fake-App, die der Nutzer unter Vorspiegelung falscher Tatsachen auf dem Gerät installiert hat. Diese App kann dann mit Hilfe des LG-Prozesses die eigenen Rechte ausweiten und etwa das Gerät des Opfers sperren und ein Lösegeld fordern.

Manipulationen über die WAP-Push-Lücke (CVE-2016-2035) können Angreifer auch aus der Ferne ausführen. Dazu müssen sie vermutlich die Telefonnummer des Ziels kennen und es ist keine direkte Ausführung von Schadcode möglich. Allerdings kann dem Nutzer ein Link untergeschoben werden, der beim Klicken Angriffscode aus dem Netz nachlädt.

Die beiden Lücken wurden von der Sicherheitsfirma Check Point auf der LayerOne-Konferenz in Los Angeles öffentlich bekannt gegeben. LG wurde vorher informiert und hat Updates herausgegeben. Nutzer von LG-Smartphones sollten sicherstellen, dass deren Software auf dem neuesten Stand ist.

Check-Point-Forscher führen die Sicherheitslücken vor.

(fab)