7. Mai 2021, 15:08 Uhr | Lesezeit: 3 Minuten
Eine neue Sicherheitslücke auf Chip-Ebene gibt Angreifenden Zugriff auf die Telefon- und SMS-Funktion von Android-Smartphones. Die betroffenen Chips sind in etwa 30 Prozent aller Smartphones weltweit verbaut.
Gefunden wurde die Schwachstelle von der Sicherheitsfirma Check Point Research. Die Firma hat sich gezielt die Smartphone-Chips des US-Fertigers Qualcomm angeschaut. Diese haben ein integriertes „Mobile Station Modem“ (MSM), das sich für potenzielle Angriffe eignet, da man darüber Zugriff auf private SMS bekommt und Telefonate abhören kann. Auch aktuelle 5G-Modems sind davon betroffen.
Sicherheitslücke in Hunderten Millionen Android-Smartphones
Qualcomms Chips mit MSM sind in fast allen Geräten der Hersteller Samsung, Xiaomi, LG, Google und weiteren zu finden. Insgesamt dürften laut Check Point Research etwa 30 Prozent der Smartphones weltweit betroffen sein. 2020 ist die Zahl der Smartphone-Nutzenden laut Statista auf 3,6 Milliarden gestiegen. Gemessen daran dürften Hunderte Millionen Endgeräte mit der Schwachstelle im Umlauf sein.
Das Mobile Station Modem ist für viele Funktionen innerhalb eines Qualcomm-Chips zuständig. Das Modem wickelt nicht nur mobile Daten ab, sondern auch Dinge wie Netzwerkzugriff, Telefonbucheinträge, Nachrichten und SIM-Entsperr-Vorgänge. Qualcomm stellt eine proprietäre Schnittstelle bereit, die es dem Android-Betriebssystem erlaubt, auf das MSM zuzugreifen – das „Qualcomm MSM Interface“ (QMI). Diese Schnittstelle ist ein Schwachpunkt, da etwa ein Trojaner über das Android-System Zugriff auf das Modem bekommen kann.
Haben Angreifende erst einmal das QMI übernommen, können sie die Funktionen des MSM steuern. Damit können sie Nachrichten auslesen, Telefonate abhören und sogar die SIM-Karte entsperren.
Auch interessant: Google warnt Android-Nutzer, die beim Gehen auf ihr Smartphone schauen
Erschreckend! So leicht können Hacker die Displaysperre in Google-Smartphones umgehen
Sicherheitslücke entdeckt Bluetooth-Sicherheitslücke in älteren iPhones und Android-Smartphones gefunden
Neue Sicherheits-Initiative Google verrät jetzt, ob Ihr Android-Smartphone unsicher ist
Qualcomm hat bereits einen Sicherheitspatch veröffentlicht
Qualcomm hat bereits reagiert und einen Patch für die Sicherheitslücke bereitgestellt, den die Smartphone-Hersteller nun für ihre Geräten umsetzen müssen. In einem Statement aus dem US-Raum, das auf TECHBOOK-Anfrage von Qualcomm Deutschland bestätigt wurde, schreibt das Unternehmen:
Technologien bereitzustellen, die widerstandsfähige Sicherheit und Datenschutz unterstützen, ist eine Priorität für Qualcomm. Wir loben die Sicherheitsforscher von Check Point dafür, dass sie koordinierte Offenlegungspraktiken nach Industriestandard genutzt haben. Qualcomm Technologies hat bereits Fixes für die OEMs [die Android-Hersteller, Anm. d. Red.] im Dezember 2020 verfügbar gemacht, und wir ermutigen Endnutzer dazu, ihre Geräte zu updaten, sobald Patches verfügbar sind.
Der Sicherheitsfix soll zudem Teil des nächsten Android-Patches für den Monat Juni sein, wie „Ars Technica“ schreibt. Da aber nur wenige Android-Smartphones die Sicherheitspatches monatlich bekommen, bleibt unklar, ob und wann der Schutz bei allen ankommt. Das zeigt wieder einmal sehr deutlich das Problem mit Sicherheitsupdates in der Android-Welt. Wenn ein Chip-Hersteller wie Qualcomm einen Fix veröffentlicht, liegt es bei den Herstellern, diesen auf ihren Geräten umzusetzen. Und die unterscheiden sich bekanntermaßen erheblich darin, wie schnell sie ein Update bereitstellen.
Check Point Research hat Informationen über die Schwachstelle auf dem eigenen Blog bekannt gegeben. Zuvor hat die Sicherheitsfirma Qualcomm darüber informiert, um dem Unternehmen Zeit zu geben, das Problem zu beseitigen. Auch empfiehlt sie Nutzerinnen und Nutzern: „Mobilgeräte sollten immer auf die neueste Version des Betriebssystems aktualisiert werden, um gegen die Ausnutzung von Sicherheitslücken geschützt zu sein.“
