Samsungs September-Patch behebt 90 Sicherheitslücken in Galaxy-Geräten. Zwei davon stecken in der Bildverarbeitung und waren so schwerwiegend, dass Angreifer:innen darüber aus der Ferne Code auf dem Gerät ausführen konnten.

Was ist passiert?

Samsung hat seinen September-Sicherheitspatch veröffentlicht. Er schließt 90 Lücken auf einen Schlag, verteilt über mehrere Quellen: 58 kommen von Google, 31 von Samsung Mobile selbst, eine weitere aus der Halbleitersparte. Google stuft 18 seiner Funde als kritisch ein, 40 als hoch. Bei Samsung Mobile sind es zwei kritische und drei hohe. Zwei der kritischen Lücken stecken in den DNG- und JPEG-Decodern, also in der Software, die Bilder verarbeitet. Vor dem Patch reichte das für Angreifer:innen aus, um aus der Ferne beliebigen Code auf dem Gerät auszuführen. Als erstes bekommen Teilnehmer:innen der One-UI-9-Beta auf dem Galaxy A55 den Patch. Andere Geräte folgen in den nächsten Tagen.

Was macht die Bild-Decoder-Lücken so gefährlich?

Fotos und Bilder werden ständig automatisch verarbeitet, beim Öffnen einer Nachricht, beim Laden der Galerie, im Hintergrund. Nutzer:innen müssen dafür nichts anklicken oder installieren. Genau das macht eine Lücke an dieser Stelle so gefährlich. Ein präpariertes Bild reicht aus um Angreifenden Zugang zum Gerät zu verschaffen, es braucht keinen Fehler der Nutzenden, wie es bei Phishing der Fall wäre.

Warum ist das relevant?

90 Lücken in einem Patch zeigen, wie viele Stellen an einem Smartphone gleichzeitig angreifbar sein können, vom Betriebssystem bis zur Hardware. Weil das Update aktuell nur über eine Beta auf einem einzelnen Modell läuft, wird es bei den meisten Geräten noch dauern, bis es ankommt. Bis dahin bleiben die Lücken auf ungepatchten Geräten offen.