Ein Sicherheitsforscher hat einen Proof-of-Concept-Exploit für eine kürzlich behobene Android-Schwachstelle veröffentlicht, die als „SMS of Death“ bekannt ist. Die als CVE-2026-58882 erfasste Schwachstelle ermöglicht es einem Angreifer, eine speziell präparierte Textnachricht zu senden, die die Mobilfunkverbindung stören oder das Zieltelefon aus der Ferne zum Absturz bringen kann.
Der Angriff erfordert keine Interaktion des Empfängers. Android verarbeitet die Nachricht, bevor sie den SMS-Posteingang erreicht, sodass das Opfer möglicherweise keinen sichtbaren Hinweis darauf erhält, was den Ausfall ausgelöst hat. Der Absturz kann laufende Anrufe unterbrechen, einschließlich Notrufen.
Laut dem Forscher Mark Blah ist die Schwachstelle auf eine unzureichende Validierung eines Header-Längenwerts in Androids Funktion WapPushOverSms.decodeWapPdu zurückzuführen. Eine fehlerhafte acht Byte große WAP-Push-Nachricht, die als Daten-SMS an Port 2948 gesendet wird, kann als vorzeichenbehafteter 32-Bit-Wert -2147483648 interpretiert werden. Android versucht anschließend, unter Verwendung dieses negativen Werts Speicher zu reservieren, wodurch im Prozess com.android.phone eine NegativeArraySizeException ausgelöst wird.
Da dieser Prozess die Mobilfunkfunktionen verwaltet, kann der Fehler Anrufe trennen und den Mobilfunkdienst unterbrechen. Der Forscher stellte außerdem fest, dass die wiederholte Verarbeitung oder erneute Zustellung der bösartigen Nachrichten weitere Abstürze verursachen kann. Bei Tests versetzten 20 Nachrichten einige Telefone in Neustartschleifen. Ein Android-12-Gerät wechselte etwa alle 90 Sekunden in den Wiederherstellungsmodus und musste auf die Werkseinstellungen zurückgesetzt werden, um wiederhergestellt zu werden.
Blah zufolge hat Google das Problem in seinen Sicherheitsupdates vom Oktober 2026 für Android-Versionen 14 bis 17 behoben. Die Schwachstelle erscheint jedoch nicht in Googles Sicherheitsbulletin für Oktober, und Geräte mit Android 12 und 13 bleiben gefährdet, wenn sie den Fix nicht erhalten haben.
Googles Patch mit dem Titel „Fix remote DoS in decodeWapPdu“ fängt die beim Verarbeiten fehlerhafter Nachrichten erzeugten Ausnahmen ab. Außerdem entfernt er die bösartigen Nachrichten aus der SMS-Datenbank, um wiederholte Abstürze zu verhindern.
Ein GitHub-Mitwirkender identifizierte eine Methode, die Nachrichten über die Android Debug Bridge zu entfernen, wobei dieser Ansatz jedoch einen Computer und fortgeschrittenere technische Kenntnisse erfordert. Der neu veröffentlichte Proof of Concept kann die bösartigen Nachrichten von einem anderen Android-Gerät aus senden.
Android-Sicherheitsupdates werden auf unterstützten Telefonen normalerweise automatisch installiert, doch die Bereitstellung hängt vom Gerätehersteller und Mobilfunkanbieter ab, und möglicherweise ist ein Neustart erforderlich, um die Installation abzuschließen. Nutzern wird empfohlen, die neuesten verfügbaren Sicherheitsupdates zu installieren, insbesondere jetzt, da ein funktionierender Exploit veröffentlicht wurde.
Quellen: BleepingComputer.