Stagefright Exploit + 2.0 - Was kommt denn noch?

[damick]

Erinnert sich noch irgendjemand an diese großen Lücken hier? Ich vermute mal, dass sehr viele von den Geräten, die da draußen rumschwirren noch verwundbar sind, gerade von den ganzen "Budget"-Geräten, die nie ein Update erhalten werden (auch z.B. mein Z3 Tablet ist noch nicht komplett gefixt). Was mich interessiert: GIbt es irgendwelche verlässlichen Quellen, wie oft die Lücke schon ausgenutzt wurde? Wie viele Schädlings-Apps, die diese Lücken nutzen sind zum Beispiel im Play-Store gelandet? Was schwirrt sonst so da draußen in unzuverlässigen Quellen rum und schadet wirklich (also kein Proof of Concept)? Oder hat Zimperium nur heiße Luft verbreitet um sich ins Rampenlicht zu rücken? Nicht falsch verstehen, ich sehe das durchaus kritisch und finde die Update-Politik im Bezug auf SIcherheitslücken vieler Hersteller mehr als mangelhaft. Aber bei den ganzen dramatischen Meldungen mit verwundbaren Geräten jenseits der 90% fehlt mir irgendwie bis jetzt die "Erfolgsmeldung" zum Ausnutzen der Lücke. Da verstehe ich auch dass Hersteller auf solche Meldungen nicht reagieren. Das ist dann irgendwann mit dem Jungen der die Dorfbewohner vor den Wölfen warnt...

 

[dacryptor]

Die Lücke ist definitiv gravierend. Mich wundert, dass noch nicht jemand ein manipuliertes "Lalala, jetzt ist wieder Wochenende!-Schlumpfvideo" bei WhatsApp verteilt hat...

 

[Dodger]

Das Problem bei Android sind doch nicht nur diese Lücken , sondern die unbekannteren 0Day-Exploits.

Gibt aber genug Infos, wo man sowas bei Interesse nachlesen kann

 

[Johndos]

Hallo alle miteinander, da hier seit 15.01.16 hier nicht mehr diskutiert wird und trotz Android 6.0.1 die Stagefright sicherheitslücke nach wie vor eine aktuelle Bedrohung ist werde ich an dieser Stelle wieder Posten. Ich habe mir gestern ein gutes gebrauchtes Xperia Z3 bei ebay geschossen, soweit so gut als ich heute mehr Zeit fand um mein neuen handschmeichler einzurichten und sie Stagefright Lücke mir keine Ruhe lässt dachte ich mir dass ich den Stagefright Detektor aus dem playstore ziehe, von da an würde mir ganz anders...

Wie ihr an Hand den Bildern erkennen könnt ist trotz Android 6.0.1 erhebliche sicherheitslücken vorhanden, selbst HTC hat es bis dato auf die reihe bekommen diese zu schließen warum nicht Sony?

Ich betrachte diese Runde als erneut eröffnet und freue mich auf zahlreiche posts bzw Diskussionen...

Eine Frage am Rande: gibt es diverse Patches die genau diese kritische Sicherheitslücken wieder schließen? Für antworten bin ich sehr dankbar

Spoiler

 

[Dodger]

Du wirst dich bei Android einfach dran gewöhnen müssen. Entweder ein CM-Gerät oder ein Google-Gerät was Updates bekommt. Bei den anderen Herstellern ist einfach ein gewisses Risiko da das kein bzw. ein sehr verzögertes Update kommt. Aber das ist auch nix wirklich neues...

 

[Johndos]

Das stimmt, da stimme ich dir bei allen Punkten zu oder ich roote einfach das gute Stück soviel ich noch weiss ist bei cm 11 keine Lücke vorhanden und das bei einem alten HTC Sensation. Nichts desto trotz ärgert es mich da Sony behauptet hat dass sie die sicherheitslücken seit Mai oder Juni geschlossen haben

 

[Dodger]

Du weisst schon das Root IMMER auf einer vorhandenen Lücke basiert??? Ein Gerät was keine Lücke hat ist ja normal garnicht rootbar. Abgesehen das du durch Root neue Lücken erzeugst

 

[Johndos]

Das wusste ich aber man muss diese Lücke manuell noch offener machen, Stichwort USB Debugging aber mal ganz davon ab diese cve Lücken bereiten mir so manche schlaflose Nächte ich bin was sowie angeht paranoid veranlagt [emoji16]

PS: hast du meine beiden Anhänge gesehen? So viele Lücken hatte ich nichteinmal bei der originale Stock 4.1 von HTC oder die berühmte Viper ROM [emoji15]

 

[rudolf]

@Johndos
Für das Z3 gibt es CM 12.1, installier das un du bist sicher. Gegen Stagefright spezeil hilft auch das man nur mit Firefox bzw Opera surft, denn die haben eigene libs ohne Stagefright. Und Videos per vlc oder mxplayer gucken.

Du weisst schon das Root IMMER auf einer vorhandenen Lücke basiert??? Ein Gerät was keine Lücke hat ist ja normal garnicht rootbar. Abgesehen das du durch Root neue Lücken erzeugst

Falsch. Wer ein twrp oder cm recovery flasht und damit rootet nutzt keine Lücke sonden macht ein update. Nach deiner Logik hätten ja auch alle cyanogenmods eine Lücke, denn die kommen ja gerootet.

Lücken hast du wenn du per App rooten kannst (mit framaroot, towelroot, kingxxx, usw.).

Wer root hat kann damit auch Lücken schliessen, z.B. durch Einsatz einer Firewall.

 

[Johndos]

Danke ich mach mich mal bezüglich des Cyabogen "update" mal schlau [emoji6]

Im ursprünglichen Post von mir sprach ich von cm11 auf meinem alten HTC Sensation ich meinte natürlich 12.1 wie du es sagtest.

Zudem du wirklich recht, ich habe mich damals wo ich das erste mal von root laß auch darüber schlau gemacht ob man das Gerät dadurch nicht noch löchriger macht aber nein es ist wie es ist, ein update

 

[Johndos]

Hallo liebe Gemeinde, ich habe vor längerer Zeit die starefight Lücke meines xperia z3 bemängelt und dementsprechend ein Foto als Beweis gepostet. Nun ich habe neue Informationen, komischer weise sind sämtliche Lücken verschwunden wie auf dem Foto zu sehen ist.... Eure Meinung ist gefragt da ich sprachlos bin und vorher etliche kritische Lücken hatte. Vorher/nachher

Vom 19,12,2016

Spoiler

Von heute (19,02,2017)

Spoiler

Ebenfalls das selbe wie bei mein ersten Posting die Android Version, kernel etc... Es kam seit Dezember letzten Jahres keine Sicherheitsupdates geschweige patches

Spoiler

 

[Rak]

Dann scheint die App "Stagefright Detector" bei deinem vorgenommenen Update von Version 5.3 auf 5.4 "schlauer" geworden zu sein.

Das scheint ja die einzige Änderung bei deinem Gerät zu sein.

 

[Johndos]

Aber wie kann es sein dass eine App "schlauer" wird und vorhandene sicherheitslücken die zuvor da waren jetzt als nichtig erklärt wird? Das begreife ich nicht

 

[Lauschebart]

Vielleicht sind einige der Sicherheitslücken seit dem anders eingeschätzt/gewichtet worden?

Das letzte was ich zu dem Thema im allgemeinen gelesen habe:

Google: Stagefright-Lücke bisher ohne ernste Folgen für Android-Nutzer | heise Security

 

[Johndos]

Okay, danke für dein Beitrag und für den Link zumindest bin ich jetzt etwas mehr beruhigt was die Sicherheit betrifft, heutzutage muss man sich intensiv mit diesem Thema befassen denn wir haben im heutigen digitalen Zeitalter unser ganzes Leben in den Smartphones gespeichert selbst ich... Da kann man schon Angst bekommen

 

[rudolf]

Wer sein altes Ansdroid Gerät rootet, Afwall nutzt und dann mit Firefox oder Opera surft ist da sicher, weil beide eigene Bilbiotheken statt der Android Bioblotheken nutzen.

 

[Johndos]

Mein z3 würde ich so oder so nicht rooten, der Grund ist mehrfach in diversen Foren beschrieben weil bestimmte Treiber und Firmware nur von Sony betrieben werden (Kamera, und andere diverse Hardwarekomponenten) da die meisten custom Roms diese Treiber oder Firmware nicht haben ist mit gewissen Einschränkungen zu rechnen. zB: Kamera funktioniert nur bedingt oder macht extrem schlechte Fotos