Android-Lücke kann Smartphones in Neustartschleifen zwingen

Eine präparierte SMS soll ausreichen, um Android-Geräte wiederholt abstürzen zu lassen, ohne Zutun ihrer Besitzer. Google hat nach Angaben des Entdeckers einen Patch bereitgestellt. Ob dieser bereits auf einem Smartphone angekommen ist, hängt jedoch vom Hersteller ab.

Eine unsichtbare Nachricht mit erheblichen Folgen: Der Sicherheitsforscher Mark Blaszczyk hat eine Schwachstelle öffentlich gemacht, über die Angreifer den Telefoniedienst von Android-Smartphones zum Absturz bringen können. Betroffen sind seinen Angaben zufolge Android-Versionen von 12 bis 17. Unter bestimmten Bedingungen drohen wiederholte Neustarts, die ein Gerät über längere Zeit praktisch unbrauchbar machen.

Blaszczyk nennt die Schwachstelle „SMS of Death“, also „SMS des Todes“. Für einen Angriff muss das Opfer weder einen Link öffnen noch eine Nachricht lesen. Bereits der Empfang einer manipulierten WAP-Push-SMS soll genügen. Solche Nachrichten werden im Hintergrund verarbeitet und erscheinen üblicherweise nicht im SMS-Posteingang.

Entdecke die Welt von Apple: leistungsstarke Technik für Kreative, Unternehmer und den digitalen Alltag. Ob MacBook Pro, iPad oder Zubehör: Apple-Produkte stehen seit Jahren für hochwertige Verarbeitung, starke Performance und ein durchdachtes Ökosystem. Hochwertige Apple-Geräte rund um MacBook Pro, iPad und weiteres Apple-Zubehör findest du bei Amazon*.

Inhaltsverzeichnis

Fehler bei der Verarbeitung versteckter Nachrichten

WAP Push ist ein älteres Verfahren, das unter anderem für den Empfang von MMS und die Übermittlung von Mobilfunkeinstellungen eingesetzt wird. Die nun beschriebene Schwachstelle liegt laut Blaszczyk in der Verarbeitung des Nachrichten-Headers.

Ein manipulierter Längenwert kann demnach eine unbehandelte Ausnahme auslösen und dadurch den Android-Telefoniedienst com.android.phone zum Absturz bringen. Nach Angaben des Forschers werden dabei auch laufende Gespräche unterbrochen, einschließlich Notrufen.

Besonders problematisch ist die wiederholte Verarbeitung der Nachricht: Android versuche nach einem Neustart erneut, die schädliche SMS zu bearbeiten. Dadurch könne das Gerät in eine Neustartschleife geraten. In den beschriebenen Fällen starte das Smartphone etwa alle 90 Sekunden neu.

Zusätzlich können Mobilfunknetze Nachrichten erneut zustellen, deren Empfang nicht bestätigt wurde. In seinen Tests habe deshalb bereits eine einzelne SMS bis zu eine Woche lang Ausfälle verursacht, berichtet Blaszczyk. Rund 20 präparierte Nachrichten könnten ein Gerät weitgehend unbenutzbar machen. Der Forscher gibt an, den Fehler unter anderem auf einem Pixel 9 und mehreren Samsung-Galaxy-Modellen zuverlässig reproduziert zu haben.

Wiederherstellung kann aufwendig werden

Bei betroffenen Geräten kann laut dem Forscher eine Aufforderung erscheinen, die gespeicherten Daten im Wiederherstellungsmodus zu löschen. Wer dort „Wipe data“ auswählt, setzt das Smartphone zurück und verliert die lokal gespeicherten Daten.

Eine Wiederherstellung ohne Zurücksetzen kann Blaszczyk zufolge eine Verbindung mit einem Computer und den Einsatz der Android Debug Bridge, kurz ADB, erfordern. Wie aufwendig die Rettung ausfällt, hängt vom Zustand und den Zugriffsmöglichkeiten des jeweiligen Geräts ab.

Der Forscher bezeichnet den Angriff als ferngesteuerte Dienstverweigerung mit anhaltender Wirkung. Eine Übernahme des Smartphones oder ein Zugriff auf persönliche Daten wird in seiner Beschreibung nicht behauptet.

Patch verfügbar, Verteilung abhängig vom Hersteller

Nach eigenen Angaben meldete Blaszczyk die Schwachstelle am 5. Mai an Google. Sie wird unter der Kennung CVE-2026-58882 geführt. Eine Korrektur soll Google im Juni erstellt haben; öffentlich sei sie erst im Oktober im Android Open Source Project erschienen.

GrapheneOS erklärte, den Patch bereits im Juli über eine Sicherheitsvorschau erhalten und integriert zu haben. Für Android 14 bis 17 habe Google die Korrektur nach Angaben des Forschers im Oktober bereitgestellt. Die Aufnahme in das öffentliche Android-Sicherheitsbulletin sei für November vorgesehen, mit einer Einstufung als kritisch.

Ein verfügbarer Patch bedeutet allerdings nicht, dass alle betroffenen Smartphones bereits geschützt sind. Die Verteilung der Updates übernehmen in vielen Fällen die Gerätehersteller. Entsprechend könnten weiterhin zahlreiche Geräte angreifbar sein.

Für Smartphones mit Android 12 oder 13 ist die Lage ungünstiger: Nach den vorliegenden Angaben ist für diese Versionen kein regulärer Fix von Google zu erwarten. Ein Schutz wäre damit davon abhängig, ob der jeweilige Hersteller die Korrektur selbst übernimmt und verteilt.

Fragen zum Umgang mit der Meldung

Für Kritik sorgt auch die Bearbeitung des ursprünglichen Fehlerberichts. Google habe diesen zunächst mit dem Status „Will Not Fix“ geschlossen, berichtet Blaszczyk.

GrapheneOS vermutet dahinter eine interne Fehlkommunikation oder eine fehlerhafte Zuordnung zu einer bereits bekannten Meldung. Bestätigt ist diese Erklärung nicht. Aus dem zunächst geschlossenen Bericht lässt sich daher nicht verlässlich ableiten, weshalb Google die Meldung so behandelte.

About
Latest Posts

Sladjan Lazic

Sladjan ist Webdesigner, Frontend-Entwickler und WordPress-Experte mit dem Schwerpunkt Full Site Editing (FSE). Als Webenthusiast arbeitet er seit 2006 mit HTML und CSS und ab 2016 mit WordPress. Seit 2018 arbeitet er mit WooCommerce und erstellt kleine, minimalistische und responsive Websites sowie kleinere Online-Shops. Seit 2019 ist er Zertifizierter SEM-Manager & Webanalyst (Webmasters Akademie) und seit 2024 Geprüfter Webdesigner (OfG).