# Stagefright (Sicherheitslücke)

Stagefright (englisch für „Lampenfieber“) bezeichnet mehrere im Juli 2015 bekannt gewordene Sicherheitslücken im gleichnamigen Multimedia-Framework des Betriebssystems Android von Google.

## Betroffene Geräte

Das Stagefright-Framework wird seit Android-Version 2.3 als Standardbibliothek zum Verarbeiten von Multimediadateien genutzt. Betroffen von den Sicherheitslücken im Framework sind die Android-Versionen 2.2 bis zur Version 5.1.1. Schätzungen gehen davon aus, dass zum damaligen Zeitpunkt 95 % aller aktuellen Android-Geräte betroffen waren. Das entspricht einer Anzahl von 950 Millionen Geräten. Laut einer anderen Quelle wurden alleine im Jahr 2014 ca. 1 Milliarde Android-Geräte verkauft, die alle mit einer verwundbaren Version ausgeliefert wurden.
Seit Android 4.0 ist die Schutzfunktion Address Space Layout Randomization (ASLR) eingebaut, die das Ausnutzen der Sicherheitslücke erschwert, aber nicht vollständig verhindert.

## Entdeckung

Die Lücken wurden von Joshua Drake von der IT-Sicherheitsfirma „Zimperium zLabs“ entdeckt, im April und Mai an Google gemeldet und am 27. Juli 2015 die Öffentlichkeit informiert.
Die Stagefright-Lücken haben die CVE-Nummern
* CVE-2015-1538,
* CVE-2015-1539,
* CVE-2015-3824,
* CVE-2015-3826,
* CVE-2015-3827,
* CVE-2015-3828 und
* CVE-2015-3829 erhalten.
Am 9. September 2015 wurde von Zimperium ein Exploit veröffentlicht, der die Sicherheitslücke CVE-2015-1538 ausnutzt.

## Auswirkung

Eine speziell präparierte Multimedia-Datei wie ein MP4-Video kann das Multimedia-Framework zum Absturz bringen. Der entstandene Pufferüberlauf auf dem Heap-Speicher (englisch: Heap Overflow) kann anschließend zum Ausführen von bösartigem Programmcode genutzt werden.
Als Folge können auf dem betroffenen Android-Gerät beispielsweise Audio-Mitschnitte oder Videos ohne Zutun des Benutzers erstellt werden. Das Android-Gerät kann somit als Abhörgerät missbraucht werden. Der Angreifer hätte auch Zugriff auf die Mediengalerie und die Bluetooth-Schnittstelle. Der Angriff an sich kann über das Zusenden einer MMS- oder Hangouts-Nachricht, über einen Messenger, die Nutzung von Apps, E-Mails, USB, Bluetooth, vCard, SD-Karte, NFC oder den Besuch einer präparierten Webseite stattfinden.
Im Falle der MMS genügt, solange das automatische Herunterladen nicht empfängerseitig abgeschaltet ist, das Zusenden einer solchen Nachricht für einen erfolgreichen Angriff. Da das Stagefright-Framework eine Datei bereits beim Empfang verarbeitet, reicht auch in anderen Fällen das automatische Herunterladen einer zugesendeten Datei aus, um ein Gerät ohne Zutun des Benutzers zu kompromittieren, d. h. die Datei braucht nicht explizit aufgerufen und abgespielt zu werden.
Adrian Ludwig, Sicherheitschef für Android bei Google, gab in einem Vortrag auf einer Sicherheitskonferenz im Februar 2017 bekannt, dass keine bestätigten Fälle bekannt sind, bei denen die Stagefright-Sicherheitslücke auf Geräten von Benutzern tatsächlich ausgenutzt wurde.

## Schutzmaßnahmen

Als eine Gegenmaßnahme wird die Abschaltung des automatischen Empfangs von MMS empfohlen. In „Hangouts“ muss in den Einstellungen die Option Automatischer MMS-Download bzw. in der App „SMS/MMS“ Automatisch abrufen deaktiviert werden. Sofern andere Kommunikations-Apps die Möglichkeiten bieten, sollte auch bei diesen der automatische Abruf von Dateien deaktiviert werden. Einen vollständigen Schutz bietet nur eine entsprechend fehlerkorrigierte, neue Android-Version (auch Firmware genannt).
Viele Geräte der alternativen Android-Firmware CyanogenMod (CM) mit den CM-Versionen 11.0, 12.0 sowie der Beta-Version 12.1 wurden bereits am 14. Juli 2015 mit einer abgesicherten Nightly-Softwareversion versorgt. Ob ein Android-Gerät auch eine offizielle korrigierte Version des Betriebssystems erhält, hängt vom jeweiligen Betreuer (englisch: Maintainer) ab.
Android-Geräte mit einer Original-Firmware sind von der Bereitschaft des jeweiligen Herstellers bzw. Anbieters abhängig. Viele Geräte erhalten aktuelle Android-Versionen sehr spät oder gar nicht (siehe dazu den Artikel zur Verfügbarkeit aktueller Versionen für vorhandene Android-Geräte).
Im Google Play Store steht eine App vom Entdecker der Sicherheitslücke bereit, mit der die Anfälligkeit des eigenen Gerätes gefahrlos getestet werden kann.

## Neue Sicherheitslücken
### August 2015

Am 13. August 2015 wurde bekannt, dass eine der von Google Anfang August veröffentlichten Fehlerkorrekturen (vgl. Reaktionen) die Sicherheitslücke CVE-2015-3824 nicht vollständig schließt. Damit bleiben Millionen Geräte weiter für mindestens eine der Stagefright-Sicherheitslücken anfällig. Die neue Stagefright-Lücke hat die CVE-Nummer CVE-2015-3864 zugewiesen bekommen. Der überarbeitete Patch wurde von Google am 9. September 2015 für seine auf Android 5.1.1 basierenden Nexus-Geräte, mit Ausnahme des ersten Nexus 7, veröffentlicht.
Im Quellcode der CyanogenMod-Versionen CM 10.1 bis 12.1 wurde die neue Sicherheitslücke bereits am 13. August 2015 geschlossen. Für Android-Geräte mit der Version CM 12.1 sowie einige Geräte von CM 11.0 und 12.0 steht eine korrigierte Nightly-Version des fehlerhaften Patches bereit. Ende August 2015 erschien für die CyanogenMod-Versionen CM 11.0 bis 12.1 eine stabile Version, welche alle bis dahin bekannten Stagefright-Sicherheitslücken schließt.

### Oktober 2015

Am 1. Oktober 2015 meldete erneut Joshua Drake von Zimperium zwei weitere kritische Sicherheitslücken in der Stagefright-Bibliothek, von denen alle Android-Versionen betroffen sind. Die auch als Stagefright 2.0 bekannt gewordenen Sicherheitslücken mit den CVE-Nummern CVE-2015-3876 und CVE-2015-6602 wurden von Google am 5. Oktober 2015 in der Android-Version für die hauseigenen Nexus-Geräte behoben.

### Folgemonate

Aus Googles Änderungsprotokollen zu den im November und Dezember 2015 veröffentlichten monatlichen Sicherheitsupdates geht hervor, dass weitere als kritisch eingestufte Sicherheitslücken in der Stagefright-Bibliothek existierten und geschlossen wurden. Einige der Lücken betreffen auch die im Oktober 2015 erschienene Android-Version 6.0 (Marshmallow).

## Reaktionen

Als Reaktionen wurde der automatische MMS-Empfang im Netz der Deutschen Telekom vom Betreiber vorübergehend deaktiviert.
Die Hersteller Acer, Google, Fairphone, HTC, Huawei, Lenovo, LG, Motorola, Samsung und Sony gaben an, für einen Teil ihrer Android-Geräte die Sicherheitslücken durch eine Systemaktualisierung schließen zu wollen.
Google veröffentlichte am 5. August 2015 die ersten Sicherheitsaktualisierungen für seine auf Android 5.1.1 basierenden Nexus-Geräte (mit Ausnahme der ersten Nexus-7-Generation aus 2012). Weitere Stagefright-Sicherheitslücken für diese Geräte wurden von Google durch Updates am 9. September und 5. Oktober 2015 geschlossen.
Für die Versionen CM 11 bis 12.1 der alternativen Android-Firmware CyanogenMod erschien Ende August 2015 eine stabile Version, nachdem bereits zuvor in einigen Nightly-Build-Versionen die Stagefright-Sicherheitslücken geschlossen worden waren.
Als weitere Maßnahme kündigten Google, LG und Samsung an, zukünftig monatliche Sicherheitsaktualisierungen für ihre aktuellen Geräte zu verteilen.
Im Rahmen der Entwicklung von Android 7 Nougat, welches im August 2016 veröffentlicht wurde, überarbeitete und härtete Google das Multimedia-Framework, um es besser vor Kompromittierung zu schützen.