Es gibt viele unterschiedliche Kategorien von Sicherheitsmängeln: Die allermeisten Angriffe erfordern eine gewisse Nutzerinteraktion, wie zum Beispiel das Besuchen einer Webseite, das Ausführen eines Programms oder das Öffnen einer speziell präparierten Datei. Sehr schwerwiegende Sicherheitslücken zeichnen sich dadurch aus, dass sich diese völlig ohne Eingriff des Nutzers ausnutzen lassen und dabei weitreichenden Zugriff auf das System ermöglichen.


Googles Sicherheitsteam "Project Zero" hat in beliebten Mobilfunk-Modems von Samsung insgesamt 18 Sicherheitslücken identifiziert. 14 dieser Lücken sind nicht sonderlich schwerwiegend und lassen sich nur unter sehr speziellen Bedingungen ausnutzen: Manche erfordern das Eingreifen des Mobilfunk-Providers und andere lassen sich nur in einem lokalen Netzwerk ausnutzen.

Vier sehr schwerwiegende Mängel
Doch vier der aufgedeckten Sicherheitsmängel sind sehr schwerwiegend, denn diese sollen ohne Nutzerinteraktion das Ausführen von Programmcode erlauben. Einzige Voraussetzung ist, dass der Angreifer wohl die Mobilfunknummer des Ziels kennen muss, um einen erfolgreichen Angriff durchzuführen. Der genaue Angriffsvektor ist allerdings nicht bekannt, da das Google Project Zero wohl aufgrund der weitreichenden Konsequenzen von seiner normalen Veröffentlichungspraxis Abstand genommen hat: Normalerweise gibt das Sicherheitsteam den Herstellern 90 Tage Zeit, einen entdeckten Mangel zu beheben – danach veröffentlicht Google die Lücken. Doch hier entschied sich Google, die Veröffentlichung auf unbestimmte Zeit aufzuschieben.

Betroffene Geräte
Laut dem Sicherheitsteam von Google sind folgende Geräte betroffen, welche die Samsung Exynos-Mobilfunkmodems einsetzen:

• Fast alle neueren Samsung-Geräte, nämlich die Modelle S22, M33, M13, M12, A71, A53, A33, A21s, A13, A12 und A04
• Das Google Pixel 6 und Pixel 7
• Die Modelle S16, S15, S6, X70, X60 und X30 des Herstellers Vivo
• Alle Autos, die auf den Samsung Exynos-Mobilfunkchip setzen. Oftmals dokumentieren Hersteller hier nicht, welche genaue Prozessoren zum Einsatz kommen – daher können keine konkreten Hersteller benannt werden

Apple-Geräte setzen auf Mobilfunkprozessoren von Qualcomm (und vormals vereinzelt Intel) und sind daher von den oben genannten Sicherheitsproblemen nicht betroffen.

Workaround
Anwender müssen aber nicht unbedingt auf ein Update des Herstellers warten, um sich abzusichern: Laut dem Google Project Zero genügt es, Voice-Over-LTE (VoLTE) wie auch Anrufe über WLAN ("WiFi Calling") zu deaktivieren, um sich zu schützen und Hackern die Möglichkeit zu nehmen, Geräte über das Internet anzugreifen.

Besonders bei Automobilherstellern ist zu erwarten, dass eine Behebung der schwerwiegenden Sicherheitsmängel einige Zeit in Anspruch nehmen wird. Mitunter müssen Autos in die Werkstatt, um bestimmte Arten von Software-Aktualisierungen vorzunehmen.