„SMS des Todes“: Sicherheitslücke lässt Android-Smartphones abstürzen

Der Sicherheitsforscher Mark Blaszczyk hat am Donnerstag eine gravierende Sicherheitslücke in Android publik gemacht: Die von ihm „SMS des Todes“ (SMS of Death) getaufte Schwachstelle betrifft offenbar Android-Versionen 12 bis 17. Bei dieser kann eine einfache SMS-Nachricht Android-Smartphones unbrauchbar machen, sodass ein Zurücksetzen auf die Werkseinstellungen oder ein aufwendiger Wiederherstellungsvorgang erforderlich wird. Die betagten Android-Versionen 12 und 13 bleiben wohl ungefixt.

Zero-Click

Laut Blaszczyk handelt es sich „um einen ferngesteuerten, Zero-Click-Denial-of-Service-Angriff mit anhaltender Wirkung“. Wenn der Fehler nicht behoben werde, starte das Smartphone etwa alle 90 Sekunden neu und zeige eine Aufforderung zum Löschen der Daten im Wiederherstellungsmodus an. Ein unbedarfter User könne dadurch gezwungen sein, das Gerät auf die Werkseinstellungen zurückzusetzen, also alle Daten zu löschen, um es wieder nutzbar zu machen. Laut dem Forscher erfülle dies nach den Regeln des Vulnerability Reward Programs (VRP) von Google die Definition eines „Destructive Remote DoS“.

Seinen Ausführungen zufolge genüge der Empfang einer einzigen fehlerhaften WAP-Push-SMS. Diese führe unter Android zum Absturz des Telefoniedienstes „com.android.phone“. Ursache ist ein ungeprüfter Typecast: Ein manipulierter Längenwert im WSP-Header wird zur negativen Arraygröße, was eine unbehandelte NegativeArraySizeException auslöst. Dadurch würden aktive Anrufe – inklusive Notrufe – unterbrochen, ohne, dass das Opfer etwas dagegen unternehmen könne. Der Angriff sei unsichtbar, die „tödlichen“ SMS-Nachrichten des Angreifers erschienen nicht im Posteingang.

Bei WAP Push handelt es sich um ein veraltetes System, mit dem Mobilfunkbetreiber versteckte Anweisungen an Mobiltelefone senden können, ohne dass der Nutzer etwas tun muss. So veranlassen sie Geräte etwa, MMS herunterzuladen oder die Einstellungen des Netzbetreibers zu übernehmen. Sollte ein Telefon betroffen sein, ist dem Forscher zufolge für die Wiederherstellung eine PC-Verbindung zum Smartphone über die Android Debug Bridge (ADB) erforderlich. In der Wiederherstellungsaufforderung sollten Betroffene keinesfalls „Wipe data“ wählen, sonst sind alle Daten verloren.

Weiter erklärt der Forscher, dass Android bei jedem Neustart versuche, dieselbe schädliche Nachricht erneut zu verarbeiten, wodurch sich der Absturz wiederhole. Laut Blaszczyk können bereits etwa 20 solcher Nachrichten ein Smartphone praktisch unbrauchbar machen und es womöglich in einer Endlosschleife gefangen halten. Netzbetreiber stellen unbestätigte Nachrichten zudem erneut zu, sodass in seinen Tests schon eine einzige SMS bis zu eine Woche lang Ausfälle verursachte. Reproduzieren konnte der Sicherheitsforscher den Fehler zu 100 Prozent, unter anderem auf einem Pixel 9 und diversen Samsung-Galaxy-Geräten.

Kein Fix für Android 12 und 13 zu erwarten

Nach eigenen Angaben hat Blaszczyk Google am 5. Mai über die Schwachstelle informiert. Inzwischen trägt sie die Kennung CVE-2026-58882. Google erstellte am 15. Juni eine Korrektur, die offenbar am 5. August eingecheckt, aber erst im Oktober öffentlich ins AOSP übertragen wurde. Laut GrapheneOS hat Google einen Patch bereits im Juli über Sicherheitsvorschauen bereitgestellt – also Monate vor der öffentlichen Bekanntgabe durch den Forscher. GrapheneOS hat den Fix auch schon im Juli implementiert.

Schließlich habe Google einen Sicherheitspatch im Oktober für Android 14 bis 17 bereitgestellt, jedoch nicht im Oktober-Bulletin veröffentlicht. Aufgeführt werden soll die Lücke im kommenden November-Bulletin, eingestuft als kritisch. Derweil dürften noch zahlreiche Geräte angreifbar sein, da Sicherheitspatches in der Regel von den jeweiligen Geräteherstellern verteilt werden.

Auf älteren Geräten, die noch auf Android 12 und 13 basieren, bleibt die Lücke mit hoher Wahrscheinlichkeit bestehen, es sei denn, Hersteller entwickeln einen passenden Patch. Ohnehin erhalten die Android-12- und -13-Versionen seitens Google keinen Support mehr.

Google hatte den Fehlerbericht des Forschers zunächst als „Will Not Fix“ geschlossen. Das könnte einer internen Kommunikationspanne geschuldet sein. GrapheneOS spekuliert auf X: „Google hat den Problembericht falsch bearbeitet. Wahrscheinlich gab es eine interne Fehlkommunikation, und der Bericht wurde nicht ordnungsgemäß bearbeitet. Möglicherweise war das Problem bereits intern gemeldet worden, und man wollte es als Duplikat schließen, anstatt es als ‚WONTFIX‘ zu kennzeichnen. Es könnte ein Fehler gewesen sein, den Bericht überhaupt zu schließen.“