Über eine von zwei Schwachstellen können die Smartphones von LG dauerhaft beschädigt werden. LG hat hierfür bereits Updates veröffentlicht, welche die Lücken beheben.

LG hat zwei Schwachstellen in seiner Firmware für Android-Smartphones geschlossen. Eine der beiden Lücken befindet sich in einem Prozess mit Systemrechten, der ungenügend geschützt ist und es deswegen beliebigen Apps erlaubt, die IMEI- und MAC-Adressen zu ändern, alle Daten auf dem Gerät zu löschen und es sogar permanent zu beschädigen. Die zweite Lücke hingegen befindet sich im Code für das WAP-Push-Protokoll und erlaubt es Angreifern, gefälschte SMS-Nachrichten an das Gerät zu schicken oder Nachrichten auf dem Smartphone zu manipulieren.



Gleich zwei Schwachstelle auf einen Streich

Die Lücke, welche den Prozess LGATCMDService betrifft (CVE-2016-3117) kann lediglich lokal ausgenutzt werden. Ein Angreifer muss also schon Schadcode auf dem Gerät haben – etwa eine Fake-App, die der Nutzer unter Vorspiegelung falscher Tatsachen auf dem Gerät installiert hat. Diese App kann dann mit Hilfe des LG-Prozesses nun die eigenen Rechte ausweiten und etwa das Gerät des Opfers sperren und ein Lösegeld fordern.

Manipulationen über die WAP-Push-Lücke (CVE-2016-2035) können Angreifer allerdings auch aus der Ferne ausführen. Dazu müssen sie vermutlich die Telefonnummer des Ziels kennen und es ist zudem keine direkte Ausführung von Schadcode möglich. Allerdings kann so dem Nutzer ein Link untergeschoben werden, der beim Klicken Angriffscode aus dem Netz nachlädt.

Updates stehen bereits bereit

Die beiden Lücken wurden von der Sicherheitsfirma Check Point auf der LayerOne-Konferenz in Los Angeles zuletzt öffentlich bekannt gegeben. LG wurde vorher informiert und hat nun Updates veröffentlicht. Nutzer von LG-Smartphones sollten sicherstellen, dass die Software auf ihren Smartphones dem neuesten Stand entspricht.



Link