”Kuoleman viesti”: Android-puhelimen voi lamaannuttaa tekstarilla – jopa hätäpuhelut voivat estyä haavoittuvuuden seurauksena

Android-käyttöjärjestelmä on paljastunut vakava haavoittuvuus, jota hyökkääjä voi hyödyntää lähettämällä erityisesti muotoillun tekstiviestin ja kaataa näin puheluita käsittelevän järjestelmäpalvelun ilman, että käyttäjän tarvitsee tehdä mitään.

Niin sanottu SMS of Death -haavoittuvuus voi katkaista käynnissä olevan puhelun, myös hätäpuhelun, eikä haitallisen viestin tarvitse edes näkyä saapuneissa viesteissä.

Tietoturvatutkija Mark Blaszczykin löytämä ongelma liittyy tapaan, jolla Android käsittelee tietynlaisia tekstiviestejä.

Normaalin viestin sijaan haitallinen SMS-tekstiviesti voi kaataa taustalla toimivan puhelupalvelun.

Jos puhelu on käynnissä haavoittuvuuden hyödyntämishetkellä, se voi katketa välittömästi. Erityisen vakavaksi tilanteen tekee se, että vaikutus voi koskea myös hätäpuheluita.

Haavoittuvuus ei rajoitu yksittäiseen kaatumiseen.

Android voi yrittää käsitellä samaa haitallista viestiä uudelleen, jolloin järjestelmäpalvelu voi kaatua toistuvasti. Blaszczykin mukaan noin 20 tällaista viestiä voi pahimmillaan tehdä puhelimesta käytännössä käyttökelvottoman ja johtaa jatkuvaan uudelleenkäynnistymiskierteeseen.

Puhelimen palauttaminen toimintaan voi olla hankalaa. Pelkkä tehdasasetusten palautus ei välttämättä auta pysyvästi, jos operaattori toimittaa haitalliset viestit takaisin laitteeseen.

Ilman tietojen pyyhkimistä korjaus voisi vaatia puhelimen yhdistämistä tietokoneeseen ja ongelmallisten viestien poistamista käsin, mikä ei ole tavalliselle käyttäjälle helppo ratkaisu.

Tutkija kertoo onnistuneensa toistamaan hyökkäyksen sekä Google Pixel- että Samsung Galaxy -laitteilla.

Haavoittuva koodi ulottuu taaksepäin Android 12 -versioon asti. Todellinen riski riippuu siitä, onko laitteelle asennettu Googlen kehittämä korjaus. Vanhemmat Android-versiot ja laitteet, jotka eivät enää saa tietoturvapäivityksiä, voivat jäädä laajemmin alttiiksi haavoittuvuudelle.

Blaszczyk ilmoitti ongelmasta Googlelle 5. toukokuuta, mutta hänen mukaansa yhtiö luokitteli raportin useaan otteeseen muuksi kuin tietoturvaongelmaksi. Tutkija julkaisi haavoittuvuuden yksityiskohdat ja toimivan demonstraation 29. lokakuuta.

Androidin lähdekooditietojen perusteella Google oli kehittänyt korjauksen haavoittuvuuteen jo 15. kesäkuuta. Korjatussa toteutuksessa järjestelmä käsittelee virhetilanteen eikä jää yrittämään ongelmallisen viestin käsittelyä toistuvasti. Haitallinen viesti poistetaan ennen kuin se voi aiheuttaa jatkuvia kaatumisia.

GrapheneOSin mukaan Google jakoi korjauksen valmistajille jo heinäkuun ennakkopaketissa.

Haavoittuvuus tunnetaan tunnuksella CVE-2026-58882, ja sille on annettu kriittinen vakavuusluokitus. Julkiseen Android Security Bulletin -tietoturvatiedotteeseen korjaus on tarkoitus sisällyttää marraskuussa.

Blaszczyk puolestaan kertoo korjauksen sisältyneen jo lokakuun Android-tietoturvapäivityksiin Android-versioille 14–17.

Krjauksen saatavuus vaihtelee valmistajan, Android-version ja laitteen mukaan. Käyttäjä ei voi tehdä haavoittuvuudelta suojautumiseksi käytännössä muuta kuin asentaa viimeisimmät päivitykset.

Mainos: Noin 1 600 000 tuotteen hintavertailu ja hintaseuranta - katso Hinta.fistä mistä saat halvimmalla