Stagefright-lek in Android

[Fiber]

Zeker. Lookout is naar mening al jaren bekend en een serieuze, betrouwbare partij. Toch...?

[Verwijderd]

Voor iedereen die kwetsbaar is valt hier op XDA een voorlopige patch/fix te vinden die je zelf kunt aanbrengen. Het dicht het lek niet, maar maakt Stagefright onklaar. Voor zover ik kan nagaan kan je nog steeds video's spelen en opnemen, dus de impact lijkt minimaal tot nihil.

Of de daar geposte (en ook in Play aanwezige) detector betrouwbaar is laat ik aan ieders eigen oordeel over.

[ Voor 12% gewijzigd door Verwijderd op 11-08-2015 15:08 ]

[Patjeto]

Hallo, ik ben een standaard Android gebruiker. (Galaxy S4 met Lollipop 5.0.1). Gisteravond een sms van een vriendin ontvangen met wie ik regelmatig heb gesmst afgelopen dagen. Na het openen van de sms en weer sluiten (zat geen filmpje in, was echt een sms) een systeemmelding gekregen dat ik sms van dat telefoonnummer niet moet openen, omdat het een gevaar zou kunnen zijn. (heb, suf, suf, geen schermafdruk gemaakt van de melding).
Enfin, Malwarebytes en Norton (betaalde versies) laten draaien, alle apps op telefoon gecheckt, niets vreemds gevonden.
Vanmorgen wil ik mijn scherm ontgrendelen, krijg 5 keer een foutmelding (nooit eerder gehad) Slik.. Telefoon uitgezet, opnieuw aangezet en hij werkte weer.
Ik heb de internetbankieren app verwijderd, want ik ben erg bang dat ik gehackt ben. Scherm flikkert af en toe.
Wat te doen? Sim in een oude Windows 6.5 Phone zetten?

[Motrax]

Verwijderd schreef op woensdag 05 augustus 2015 @ 08:47:
[...]

Windows heeft door zijn overeenkomsten met de desktopversie van Windows zo mogelijk nog meer veiligheidsrisico's en (potentiële) lekken. Of die beweging zin heeft valt dus te betwijfelen.

Absoluut waar, maar 1 klein detail: mijn Android telefoon heeft al 2 jaar geen updates ontvangen. Ik ga liever naar een platform waar vaker updates binnenkomen.

Verwijderd schreef op dinsdag 11 augustus 2015 @ 15:07:
Voor iedereen die kwetsbaar is valt hier op XDA een voorlopige patch/fix te vinden die je zelf kunt aanbrengen. Het dicht het lek niet, maar maakt Stagefright onklaar. Voor zover ik kan nagaan kan je nog steeds video's spelen en opnemen, dus de impact lijkt minimaal tot nihil.

Of de daar geposte (en ook in Play aanwezige) detector betrouwbaar is laat ik aan ieders eigen oordeel over.

Hartelijk dank! Nu nog mijn telefoon rooten... HTC, dus dat is een standaard proces vanuit HTC zelf.

Ook omdat nu bekend is geworden dat een 2e patch nodig is: het uitzetten van Stagefright is veiliger...

[Mrjraider]

Zodra Google met een echte patch komt zou het fijn zijn dat:
of het voor meerdere android versies toepasbaar is of goed de backporten is. Een 5.x wel een patch geven maar de overige versies laten zitten is niet bepaald eerlijk..

[Patjeto]

Patjeto schreef op woensdag 12 augustus 2015 @ 11:46:
Hallo, ik ben een standaard Android gebruiker. (Galaxy S4 met Lollipop 5.0.1). Gisteravond een sms van een vriendin ontvangen met wie ik regelmatig heb gesmst afgelopen dagen. Na het openen van de sms en weer sluiten (zat geen filmpje in, was echt een sms) een systeemmelding gekregen dat ik sms van dat telefoonnummer niet moet openen, omdat het een gevaar zou kunnen zijn. (heb, suf, suf, geen schermafdruk gemaakt van de melding).
Enfin, Malwarebytes en Norton (betaalde versies) laten draaien, alle apps op telefoon gecheckt, niets vreemds gevonden.
Vanmorgen wil ik mijn scherm ontgrendelen, krijg 5 keer een foutmelding (nooit eerder gehad) Slik.. Telefoon uitgezet, opnieuw aangezet en hij werkte weer.
Ik heb de internetbankieren app verwijderd, want ik ben erg bang dat ik gehackt ben. Scherm flikkert af en toe.
Wat te doen? Sim in een oude Windows 6.5 Phone zetten?

'

Kan iemand mij misschien helpen?

[RoD]

Patjeto schreef op woensdag 19 augustus 2015 @ 13:33:
[...]
'

Kan iemand mij misschien helpen?

Voor problemen graag een eigen topic openen. Discussietopics zijn geen goede plek om problemen te plaatsen

[Fiber]

He, cool, mijn pricewatch: Acer Liquid E700 (2GB ram/16GB opslag) Zwart kreeg vandaag een OTA system update binnen, daarna de Stage-fright detector nog eens laten draaien en, hoera, mijn telefoon is niet langer kwetsbaar!

Heeft even geduurd, maar toch mijn complimenten voor Acer.

[azerty]

Verder ook al gepatcht volgens medestudenten: MIUI 7 Xiaomi mi 4i, lg g3, OPO (Cyanogen)

[azerty]

Raar maar waar: na een update van de Stagefright app zijn er plots maar 1/7 ipv 4/7 meer rood op mijn Moto G (2014). Geen OTA update gehad vziw

[Kiswum]

azerty schreef op dinsdag 01 september 2015 @ 21:41:
Verder ook al gepatcht volgens medestudenten: MIUI 7 Xiaomi mi 4i, lg g3, OPO (Cyanogen)

Miui V6 5.30.7 (eind juli 2015) op Mi2. In een ander bericht heb ik gelezen dat het met een Duitse Miui ook al in mei/juni geen gevaar was. (ja soms worden dingen gepatched, voordat de bug wereldkundig wordt gemaakt).

[_Dune_]

Sinds het NCSC op 9 September de dreiging van het Stagefright-lek van medium - high naar high - high heeft gebracht, omdat er nu daadwerkelijk exploit-code beschikbaar is heeft mijn opdrachtgever besloten alle Android toestellen te blokkeren op met name Exchange.

Alleen Android toestellen die door de controle komen van de Stagefright Detector van ZIMPERIUM worden weer toegelaten. Wat ik alleen erg zorgelijk vind is dat grote bedrijven als Samsung, Sony, HTC en LG al vorige maand aangegeven voor het einde van de maand een update klaar te hebben, maar tot op heden lijkt dit nogaltijd niet aan de orde.

Zelfs Nexus toestellen lijken tot op heden niet allemaal up to date gebracht te kunnen worden of krijgen vermoedelijk geheel geen update van dit toch wel zeer kwalijke lek, bijvoorbeeld de Nexus 7 (2012).

Ik vraag mij nu echt af hoe interessant is Android nu nog voor zakelijk gebruik, maar ook privé (bankzaken op mobile) als dergelijke kritische lekken als deze op zo'n slechte en trage manier worden opgepakt.

[Verwijderd]

_Dune_ schreef op dinsdag 15 september 2015 @ 16:29:
Sinds het NCSC op 9 September de dreiging van het Stagefright-lek van medium - high naar high - high heeft gebracht, omdat er nu daadwerkelijk exploit-code beschikbaar is heeft mijn opdrachtgever besloten alle Android toestellen te blokkeren op met name Exchange.

Niet minder dan terecht, dat is de enige juiste oplossing. Het verbaast me dan ook dat er verder zo weinig reuring is, het lijkt er sterk op dat de meeste organisaties het wel aanzien en hopen dat de bom niet barst. Doen alsof je nergens van weet kan inmiddels niet meer.

Dan is het wachten op de tranen als het mis gaat. Waarom heeft niemand dit voorzien? Hoe heeft dit kunnen gebeuren?

Om welk soort bedrijf gaat het in jouw geval?

[ Voor 3% gewijzigd door Verwijderd op 15-09-2015 18:08 ]

[_Dune_]

Het is zeer verbazend hoe weinig je er over leest, je zou ook verwachten dat een topic als deze "trending" zou zijn, ik heb het idee dat iedereen zijn kop in het zand steekt.

Gisteren wederom zorgelijke berichtgeving met betrekking tot Android (klik).

Dinsdagavond heeft een collega middels OTA daadwerkelijk een update ontvangen op zijn Nexus 7 (2013). Naar het schijnt is Google nu daadwerkelijk begonnen met hun Eigen toestellen vanaf 2013 en jonger van update te voorzien. Dit heft eigenlijk vee lte lang geduurd. Maar grote bedrijven als Samsung laten het nog steeds afweten, zover wij het kunnen bepalen.

Ik kan je niet direct zeggen wie mijn opdrachtgever is, omdat zij over het algemeen een strikte communicatie hanteren naar de buitenwereld. Ik kan je wel zeggen dat zij opereren in de GAS&OIL industrie en veiligheid op elk vlak hoog in het vandal hebben.

[Kiswum]

De Sony Xperia Z1c (uit 2014) heeft gisteren een ota update ontvangen naar Android 5.1.
Stagefright is daardoor geen dreiging meer.

[leuk_he]

_Dune_ schreef op donderdag 17 september 2015 @ 11:14:
Het is zeer verbazend hoe weinig je er over leest, je zou ook verwachten dat een topic als deze "trending" zou zijn, ik heb het idee dat iedereen zijn kop in het zand steekt.

Tja, je hebt niet veel keus he? Leverancier moet de update leveren, je kunt het niet echt zelf uit zetten/patchen (MMS is maar 1 ingang) , en voor zover bekend zijn er geen grootschalige worm/exploits actief.

[DarkSide]

Klopt ook bij ons geen specifieke meldingen mbt StageFright.
Niet bij mijn werkgever en niet bij mijn klanten.
Een van mijn klanten heeft nu wel als eis dat je android toestel minimaal 4.1 moet draaien.
Maar niets over patchen, of waarschuwingen e.d. gehad.

Mijn telefoon is gelukkig nu weer up to date (volgens de scan).

[remotehost]

_Dune_ schreef op donderdag 17 september 2015 @ 11:14:
Het is zeer verbazend hoe weinig je er over leest, je zou ook verwachten dat een topic als deze "trending" zou zijn, ik heb het idee dat iedereen zijn kop in het zand steekt.
<snip>

Helemaal mee eens, ook ik snap daar niks van. Het is eigenlijk te belachelijk voor woorden: ik ben tot op heden, 24 September 2015, gewoon kwetsbaar voor TWEE enorme en inmiddels bekende critical bugs op Android, bugs waardoor de controle op mijn hele mobieltje kan worden overgenomen:

1. Stagefright bug
2. Certifi-gate bug

En voor de oplossing daarvan ben ik afhankelijk van, in mijn geval, HTC maar ik heb geen idee wanneer die de 2e Stagefright fix (de 1e fix verhielp het niet compleet, zie hieronder) gaan uitrollen. Ook weet ik niet wanneer ze van plan zijn om de Certifi-gate bug te verhelpen.

Zie hier de trieste resultaten op mijn HTC One M8 van KPN (en dat is toch niet al een heel oud Android mobieltje zou je denken) die voorzien is van de laatste HTC updates (Android 5.0.1, sw 4.16.401.13):

Stagefright Detector, Zimperium INC. Tools
Google Play: Stagefright Detector
Resultaat:


Certifi-gate Scanner, Check Point Software Technologies, Ltd.
Google Play: Certifi-gate Scanner
Resultaat:


Op dit moment wordt mijn volgende telefoon zeker geen Android meer, totaal ongeschikt voor kritische zaken en dan gebruik ikzelf al bewust geen enkele financiele app maar massa's gebruikers doen dat wel. Ugh.

[Verwijderd]

Het zou eigenlijk wel interessant zijn als iemand een proefproces begint wat betreft het leveren van een niet-functionele telefoon. Er valt ontzettend veel voor te zeggen dat een telefoon met het Stagefright-lek met het publiceren van de broncode fundamenteel onveilig is gebleken dan wel geworden en dat deze daardoor op geen enkele redelijke wijze veilig en naar verwachting gebruikt kan worden door de consument. Het is dan de zorg van de fabrikant om dit probleem te snel mogelijk te verhelpen. Als dat gewonnen zou worden schept dat een enorm belangrijk precedent betreft de verantwoordelijkheid die leveranciers hebben met betrekking tot de software van hun toestel. Dan staat eindelijk zwart op wit dat dit geen optionele gunst meer is, maar onderdeel van het pakketje zoals het verkocht wordt.

Het lijkt me niet veel anders dan airbags die gevaarlijk blijken of remmen die op afstand bestuurd kunnen worden Het is natuurlijk wat bizar dat een hardwaredefect zonder nadenken onder de eis dat het product deugdelijk moet zijn valt, maar dat een productiefout in de software blijkbaar anders geclassificeerd wordt.

Ik ben zelf overigens inmiddels gered door de community, maar de fabrikant van de telefoon houdt stug vol dat het probleem simpelweg niet zo groot is

remotehost schreef op donderdag 24 september 2015 @ 20:51:
Het is eigenlijk te belachelijk voor woorden: ik ben tot op heden, 24 September 2015, gewoon kwetsbaar voor 2 enorme en inmiddels bekende critical bugs op Android, bugs waardoor de controle op mijn hele mobieltje kan worden overgenomen!

Wat is de tweede bug?

[ Voor 19% gewijzigd door Verwijderd op 24-09-2015 21:47 ]

[remotehost]

Verwijderd schreef op donderdag 24 september 2015 @ 21:45:

[...]

Wat is de tweede bug?

De Certifi-gate bug, ik heb het iets verduidelijkt in mijn post.

[azerty]

nieuws: Bestaan van twee nieuwe Stagefright-exploits bekendgemaakt

Nog een paar erbij... En nog geen patch in zicht voor de stock rom van Moto G 2014