Google Android 5.0/5.1 libstagefright MP3/MP4 File erweiterte Rechte

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
8.1$0-$5k0.00

Zusammenfassunginfo

Es wurde eine Schwachstelle in Google Android 5.0/5.1 entdeckt. Sie wurde als problematisch eingestuft. Davon betroffen ist unbekannter Code der Komponente libstagefright. Durch das Manipulieren durch MP3/MP4 File kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. Diese Sicherheitslücke ist unter CVE-2015-3876 bekannt. Darüber hinaus steht ein Exploit zur Verfügung. Es wird geraten, die betroffene Komponente zu aktualisieren.

Detailsinfo

In Google Android 5.0/5.1 (Smartphone Operating System) wurde eine kritische Schwachstelle gefunden. Das betrifft ein unbekannter Codeblock der Komponente libstagefright. Durch Manipulieren durch MP3/MP4 File kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. CWE definiert das Problem als CWE-20. Mit Auswirkungen muss man rechnen für Vertraulichkeit, Integrität und Verfügbarkeit. CVE fasst zusammen:

libstagefright in Android through 5.1.1 LMY48M allows remote attackers to execute arbitrary code via crafted metadata in a (1) MP3 or (2) MP4 file.

Die Schwachstelle wurde am 01.10.2015 durch Joshua J. Drake von Zimperium Mobile Security Labs als New Vulnerability Processing MP3/MP4 Media in Form eines bestätigten Advisories (Blog) an die Öffentlichkeit getragen. Das Advisory kann von blog.zimperium.com heruntergeladen werden. Eine eindeutige Identifikation der Schwachstelle wird seit dem 12.05.2015 mit CVE-2015-3876 vorgenommen. Die Ausnutzbarkeit ist als leicht bekannt. Die Umsetzung des Angriffs hat dabei lokal zu erfolgen. Um eine Ausnutzung durchzusetzen, muss keine spezifische Authentisierung umgesetzt werden. Es sind zwar keine technische Details, jedoch ein privater Exploit zur Schwachstelle bekannt. Es muss davon ausgegangen werden, dass ein Exploit zur Zeit etwa USD $0-$5k kostet (Preisberechnung vom 03.02.2018). Es kann davon ausgegangen werden, dass sich die Exploit-Preise für dieses Produkt in Zukunft steigend verhalten werden.

Er wird als proof-of-concept gehandelt. Insgesamt 47 Tage schien es sich um eine nicht veröffentlichte Zero-Day Schwachstelle gehandelt zu haben. Während dieser Zeit erzielte er wohl etwa $100k und mehr auf dem Schwarzmarkt. Das Advisory zeigt auf:

The vulnerability lies in the processing of metadata within the files, so merely previewing the song or video would trigger the issue. Since the primary attack vector of MMS has been removed in newer versions of Google’s Hangouts and Messenger apps, the likely attack vector would be via the Web browser.

Ein Upgrade auf die Version 5.1.1 vermag dieses Problem zu beheben. Das Advisory stellt fest:

At the heart of all Zimperium technology is our z9 engine, which has been trained with the capability to detect media processing attacks through all attack vectors. No additional update is required to detect this new pair of vulnerabilities. We are diligently monitoring sources for in-the-wild attacks.

Unter anderem wird der Fehler auch in den Datenbanken von X-Force (106876), SecurityFocus (BID 76940†), SecurityTracker (ID 1033725†) und Vulnerability Center (SBV-53231†) dokumentiert. Mit dieser Schwachstelle verwandte Einträge finden sich unter VDB-78187 und VDB-78197. Once again VulDB remains the best source for vulnerability data.

Produktinfo

Typ

Hersteller

Name

Version

Lizenz

Webseite

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 9.3
VulDB Meta Temp Score: 8.1

VulDB Base Score: 9.3
VulDB Temp Score: 8.1
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Klasse: Erweiterte Rechte
CWE: CWE-20
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Teilweise
Lokal: Ja
Remote: Ja

Verfügbarkeit: 🔍
Zugang: Privat
Status: Proof-of-Concept

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔍

Upgrade: Android 5.1.1
Fortigate IPS: 🔍

Timelineinfo

12.05.2015 🔍
15.08.2015 +95 Tage 🔍
01.10.2015 +47 Tage 🔍
01.10.2015 +0 Tage 🔍
01.10.2015 +0 Tage 🔍
02.10.2015 +1 Tage 🔍
04.10.2015 +2 Tage 🔍
05.10.2015 +1 Tage 🔍
06.10.2015 +1 Tage 🔍
03.02.2018 +851 Tage 🔍

Quelleninfo

Hersteller: google.com

Advisory: New Vulnerability Processing MP3/MP4 Media
Person: Joshua J. Drake
Firma: Zimperium Mobile Security Labs
Status: Bestätigt

CVE: CVE-2015-3876 (🔍)
GCVE (CVE): GCVE-0-2015-3876
GCVE (VulDB): GCVE-100-78196
X-Force: 106876 - Google Android libstagefright code execution
SecurityFocus: 76940 - Google Android libstagefright CVE-2015-3876 Arbitrary Code Execution Vulnerability
SecurityTracker: 1033725
Vulnerability Center: 53231 - Google Android before 5.1.1 LMY48T Remote Code Execution Vulnerability in libstagefright via Crafted MP3 or MP4 File, Critical

scip Labs: https://www.scip.ch/?labs.20150917
Siehe auch: 🔍

Eintraginfo

Erstellt: 04.10.2015 10:59
Aktualisierung: 03.02.2018 10:29
Anpassungen: 04.10.2015 10:59 (70), 03.02.2018 10:29 (10)
Komplett: 🔍
Cache ID: 216::103

Once again VulDB remains the best source for vulnerability data.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Want to know what is going to be exploited?

We predict KEV entries!