SMS des Todes: Android-Sicherheitslücke und deren Auswirkungen

SMS des Todes

Der Sicherheitsforscher Mark Blaszczyk hat am Donnerstag eine gravierende Sicherheitslücke in Android veröffentlicht, die als SMS des Todes (SMS of Death) bezeichnet wird. Diese Schwachstelle betreffen offenbar Android-Versionen 12 bis 17. Bei dieser Schwachstelle kann eine einfache SMS-Nachricht Android-Smartphones unbrauchbar machen, sodass ein Zurücksetzen auf die Werkseinstellungen oder ein aufwendiger Wiederherstellungsvorgang erforderlich wird. Die betagten Android-Versionen 12 und 13 bleiben wohl ungefixt.

Beschreibung der Schwachstelle

Laut Blaszczyk handelt es sich um einen ferngesteuerten, Zero-Click-Denial-of-Service-Angriff mit anhaltender Wirkung. Wenn der Fehler nicht behoben wird, startet das Smartphone etwa alle 90 Sekunden neu und zeige eine Aufforderung zum Löschen der Daten im Wiederherstellungsmodus an. Ein unbedarfter User könne dadurch gezwungen sein, das Gerät auf die Werkseinstellungen zurückzusetzen, also alle Daten zu löschen, um es wieder nutzbar zu machen. Laut dem Forscher erfülle dies nach den Regeln des Vulnerability Reward Programs (VRP) von Google die Definition eines „Destructive Remote DoS“.

Symptome und Auswirkungen

Der Fehler führt zu einem unbrauchbaren Smartphone. Der Angriff sei unsichtbar, die „tödlichen“ SMS-Nachrichten des Angreifers erschienen nicht im Posteingang. Bei WAP Push handelt es sich um ein veraltetes System, mit dem Mobilfunkbetreiber versteckte Anweisungen an Mobiltelefone senden können, ohne dass der Nutzer etwas tun muss. So veranlassen sie Geräte etwa, MMS herunterzuladen oder die Einstellungen des Netzbetreibers zu übernehmen. Sollte ein Telefon betroffen sein, ist dem Forscher zufolge für die Wiederherstellung eine PC-Verbindung zum Smartphone über die Android Debug Bridge (ADB) erforderlich. In der Wiederherstellungsaufforderung sollten Betroffene keinesfalls „Wipe data“ wählen, sonst sind alle Daten verloren.

Lösung und Vorbereitung

Google erstellte am 15. Juni eine Korrektur, die offenbar am 5. August eingecheckt, aber erst im Oktober öffentlich ins AOSP übertragen wurde. Laut GrapheneOS hat Google einen Patch bereits im Juli über Sicherheitsvorschauen bereitgestellt, also Monate vor der öffentlichen Bekanntgabe durch den Forscher. GrapheneOS hat den Fix auch schon im Juli implementiert. Google hatte den Fehlerbericht des Forschers zunächst als „Will Not Fix“ geschlossen. Das könnte einer internen Kommunikationspanne geschuldet sein. GrapheneOS spekuliert auf X: „Google hat den Problembericht falsch bearbeitet. Wahrscheinlich gab es eine interne Fehlkommunikation, und der Bericht wurde nicht ordnungsgemäß übermittelt.“

Zukunft und Vorbereitung

Auf älteren Geräten, die noch auf Android 12 und 13 basieren, bleibt die Lücke mit hoher Wahrscheinlichkeit bestehen, es sei denn, Hersteller entwickeln einen passenden Patch. Ohne Support mehr seitens Google, dürften noch zahlreiche Geräte angreifbar sein. Derweil dürften bereits etwa 20 solcher Nachrichten ein Smartphone praktisch unbrauchbar machen und es womöglich in einer Endlosschleife gefangen halten. Netzbetreiber stellen unbestätigte Nachrichten zudem erneut zu, sodass in seinen Tests schon eine einzige SMS bis zu eine Woche lang Ausfälle verursachte. Reproduzieren konnte der Sicherheitsforscher den Fehler zu 100 Prozent, unter anderem auf einem Pixel 9 und diversen Samsung-Galaxy-Geräten.

Schlussfolgerung

Die SMS des Todes ist eine ernsthafte Sicherheitslücke in Android-Versionen 12 bis 17. Derzeit gibt es keinen Fix für Android 12 und 13, und es dürften noch zahlreiche Geräte angreifbar sein. Hersteller müssen einen passenden Patch entwickeln, um die Lücke zu schließen.