Ein Smartphone aktuell zu halten, reichte nicht aus, um Forscher daran zu hindern, Googles Pixel 10 bei Pwn2Own Ireland zu hacken. Drei voneinander unabhängige Teams nutzten am 8. Oktober das vollständig gepatchte Gerät erfolgreich aus der Ferne aus.
Die Demonstrationen betrafen unterschiedliche Schwachstellen, darunter eine Zero-Day-Lücke sowie Fehler, die den Organisatoren des Wettbewerbs oder den Anbietern bereits bekannt waren. Obwohl die Angriffe unter kontrollierten Bedingungen stattfanden, legten sie Schwachstellen offen, die durch vorhandene Sicherheitsupdates noch nicht behoben waren.
Für Unternehmen, die über Android-Smartphones auf geschäftliche E-Mails, Cloud-Anwendungen und Authentifizierungsdienste zugreifen, zeigen die Ergebnisse, warum mobile Sicherheit mehr als regelmäßiges Patchen erfordert.
Drei Teams kassieren 562.500 US-Dollar für Pixel-10-Hacks
Bei dem Wettbewerb im irischen Cork bestätigte die Zero Day Initiative (ZDI) von Trend Micro drei erfolgreiche Remote-Exploits für das Pixel 10. Die ZDI veröffentlichte am 8. Oktober folgende Ergebnisse:
Forschungsteam | Demonstrierter Exploit | Prämie |
| Xint: Tim Becker und Yves Bieri | Kollision einer Schwachstelle | $150,000 |
| Ikotas Labs | Mehrere miteinander verkettete Probleme, als Kollision bezeichnet | $300,000 |
| Dimitrios Valsamaras, Ken Gannon und Tenia Valsamara | Kette aus zwei Schwachstellen: eine Kollision und eine Zero-Day-Lücke | $112,500 |
Der Gewinn von 300.000 US-Dollar verhalf Ikotas Labs außerdem zum Titel Master of Pwn. Bei allen drei erfolgreichen Pixel-Demonstrationen kamen Bug-Kollisionen zum Einsatz, doch das dritte Team nutzte zusätzlich eine Zero-Day-Lücke. Die Ergebnisse bedeuten nicht, dass die Forscher drei vollständig neue Schwachstellen entdeckt haben.
Was die Exploits über vorhandene Patches verraten
Eine Bug-Kollision bedeutet, dass ein Exploit eine dem Veranstalter oder Anbieter bereits bekannte Schwachstelle nutzt; das bedeutet nicht unbedingt, dass eine Fehlerbehebung verfügbar war. Die Wettbewerbsregeln schreiben vor, dass die Ziele das neueste vollständig gepatchte Betriebssystem ausführen müssen, und erlauben Remote-Angriffe über Webinhalte im Standardbrowser oder über NFC, WLAN, Bluetooth beziehungsweise Basisbandkommunikation. Die Ergebnisse der ZDI nennen nicht, welche Methoden die Pixel-Teams verwendet haben. „Remote“ sollte daher nicht als Bestätigung eines Zero-Click-Angriffs verstanden werden.
Google veröffentlichte am 6. Oktober, zwei Tage vor den Demonstrationen, sein Oktober-Pixel-Update-Bulletin. Die Ergebnisse des dritten Wettbewerbstags der ZDI nennen weder die betroffenen Komponenten noch CVEs oder zugehörige Fehlerbehebungen. Erfolgreiche Forscher müssen ihre Exploits und technische Dokumentation an die ZDI übermitteln, damit diese an die betroffenen Anbieter offengelegt werden können. Die Demonstrationen belegen nicht, dass Kriminelle dieselben Exploits gegen Besitzer eines Pixel 10 einsetzen.
Was Sicherheitsteams bis zum Eintreffen von Patches überprüfen sollten
Geschäftliche Smartphones können Zugriff auf Unternehmens-E-Mails, aktive Cloud-Sitzungen und Authentifizierungsdaten ermöglichen. COE Security erklärte, dass die Folgen eines kompromittierten Geräts von seinen Berechtigungen und den Diensten abhängen, auf die es zugreifen kann, und nicht nur vom Mobilgerät selbst.
Da die technischen Details der Pixel-10-Exploits weiterhin nicht offengelegt sind, verfügen Unternehmen nur über begrenzte Informationen zu den konkreten Schwachstellen, die die Forscher ausgenutzt haben. Sicherheitsteams können ihre mobile Abwehr dennoch stärken, indem sie sich auf drei praktische Maßnahmen konzentrieren:
- Gerätesicherheit überprüfen. Unternehmens- und BYOD-Smartphones inventarisieren, Updates überprüfen und die Anforderungen des Mobile-Device-Managements durchsetzen.
- Zugriff auf vertrauliche Daten begrenzen.Bedingten Zugriff und Richtlinien nach dem Prinzip der geringsten Rechte einsetzen und sicherstellen, dass Arbeitssitzungen bei einer Kompromittierung des Smartphones widerrufen werden können.
- Auf Offenlegungen vorbereiten.Hinweise von Google und der ZDI verfolgen und Verfahren einrichten, um betroffene Geräte zu isolieren und Fehlerbehebungen auszurollen, sobald sie verfügbar sind.
Diese Maßnahmen sind allgemeine Sicherheitsvorkehrungen und keine bestätigten Gegenmaßnahmen für die konkreten Exploits aus dem Wettbewerb. Für Unternehmen, die Android-Geräte verwalten, besteht die zentrale Erkenntnis darin, Patching mit der Kontrolle des geschäftlichen Zugriffs zu verbinden. Auch ein aktualisiertes Smartphone sollte weiterhin Geräte-Richtlinien, Zugriffsbeschränkungen und Verfahren zur Reaktion auf Sicherheitsvorfälle unterliegen. Diese Kontrollen geben Administratoren Möglichkeiten, eine potenzielle Gefährdung einzudämmen, während sie künftige Offenlegungen und bestätigte Fehlerbehebungen bewerten.
Weiterführende Lektüre: Das Pixel 10 war nicht das einzige Android-Flaggschiff, das bei Pwn2Own Ireland ins Visier genommen wurde. Samsungs Galaxy S26 wurde während desselben Wettbewerbs siebenmal gehackt, was ähnliche Bedenken hinsichtlich bekannter Schwachstellen und der Grenzen von Sicherheitsupdates aufkommen lässt.