Abo
  • Services:
Anzeige
Die unzureichende Überprüfung von Zertifikaten ist wohl auf einen Fehler in Apaches Harmony zurückzuführen.
Die unzureichende Überprüfung von Zertifikaten ist wohl auf einen Fehler in Apaches Harmony zurückzuführen. (Bild: Curesec)

Android: Harmony verursacht unzureichende Zertifikatsprüfung

Black Hat 2014 Ein Fehler in Apaches Harmony soll die Ursache für die fehlerhafte Zertifikatsprüfung in Android sein. Harmony war Apaches Java-Implementierung, das Google in Android einsetzt.

Anzeige

Die in vielen Android-Versionen unzureichende Zertifikatsüberprüfung bei der Installation von Applikationen stammt wohl aus einem Fehler in Apaches Harmony. Die Apache Foundation entwickelte eine eigene Open-Source-Version der Java-Umgebung unter dem Namen Harmony. Google hatte bei der Entwicklung von Android auf Harmony zurückgegriffen, da der Suchmaschinenanbieter keine Lizenz für Java erhielt.

Das Projekt Harmony wurde nach der Übernahme von Sun durch Oracle und die darauf folgende Klage Oracles gegen Google eingestellt. Da hatte Google bereits den Code des Projekts in Android integriert und unter dem Namen Dalvik-Engine weiterentwickelt, offenbar, ohne den Fehler zu bemerken. Bluebox Security hatte vor wenigen Tagen auf den gravierenden Fehler hingewiesen. Durch ihn können sich Malware-Apps mit gefälschten Zertifikaten verifizieren und dadurch auch systemweite Berechtigungen erlangen. Mit den entsprechenden Berechtigungen könnte dann auf Nutzerdaten oder sogar die Bezahlfunktionen von Google Wallet zugegriffen werden.

Fast alle Android-Versionen betroffen

Der Fehler wird als schwerwiegend eingestuft. Er sei von Google bereits entdeckt und in Android 4.4 zumindest teilweise behoben worden. Alle vorherigen Versionen seit Android 2.1 seien aber noch betroffen, schreibt Bluebox Security. Auch in der Vorabversion von Android 5.0 sei er noch vorhanden, sagte das auf IT-Sicherheit spezialisierte Unternehmen.

Google schreibt auf eine Anfrage der Webseite Ars Technica, das Unternehmen habe bereits einen Patch bereitgestellt. Außerdem wären sämtliche im Playstore verfügbaren Applikationen auf gefälschte Zertifikate untersucht worden. Aktuell gebe es dort keine Hinweise darauf, dass die Sicherheitslücke bereits ausgenutzt werde.

Bluebox Systems hat die Schwachstelle mit einem gefälschten Zertifikat für Adobes Flash Player ausprobiert. Damit konnte eine speziell präparierte App sämtliche Sicherheitskontrollen umgehen und auch aus ihrer Sandbox ausbrechen, in der jeweils einzelne Applikationen normalerweise nur mit speziell ihnen zugewiesenen Rechten laufen. Weitere Details zu der Schwachstelle will Bluebox Security auf der Black Hat 2014 vorstellen.


eye home zur Startseite
chrulri 04. Aug 2014

Was ist denn das für ein Hersteller?

LoopBack 30. Jul 2014

Das runterladen im vorraus ist zwar möglich, aber nur zum betrachten. Routing ist dann...



Anzeige

Stellenmarkt
  1. FactSet Digital Solutions GmbH, Frankfurt am Main
  2. LuK GmbH & Co. KG, Bühl
  3. LEDVANCE GmbH, Garching bei München
  4. Carmeq GmbH, Wolfsburg


Anzeige
Spiele-Angebote
  1. (-85%) 1,49€
  2. 29,99€
  3. 13,99€

Folgen Sie uns
       


  1. Eclipse Foundation

    Erster EE4J-Code leitet Java-EE-Migration ein

  2. Breitbandmessung

    Provider halten versprochene Geschwindigkeit fast nie ein

  3. Virtualisierung

    Linux-Gasttreiber für Virtualbox bekommt Mainline-Support

  4. DJI Copilot von Lacie

    Festplatte kopiert SD-Karten ohne separaten Rechner

  5. Swift 5

    Acers dünnes Notebook kommt ab 1.000 Euro in den Handel

  6. Vodafone

    Callya-Flex-Tarife bekommen mehr Datenvolumen

  7. Elektromobilität

    Lithium ist genug vorhanden, aber es wird teurer

  8. Indiegames-Rundschau

    Krawall mit Knetmännchen und ein Mann im Fass

  9. Microsoft

    Surface Book 2 mit 15 Zoll kommt nach Deutschland

  10. Patent

    Huawei untersucht alternative Smartwatch-Bedienung



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Computerforschung: Quantencomputer aus Silizium werden realistisch
Computerforschung
Quantencomputer aus Silizium werden realistisch
  1. Tangle Lake Intel zeigt 49-Qubit-Chip
  2. Die Woche im Video Alles kaputt
  3. Q# und QDK Microsoft veröffentlicht Entwicklungskit für Quantenrechner

Netzsperren: Wie Katalonien die spanische Internetzensur austrickste
Netzsperren
Wie Katalonien die spanische Internetzensur austrickste

Spectre und Meltdown: All unsere moderne Technik ist kaputt
Spectre und Meltdown
All unsere moderne Technik ist kaputt
  1. Microsoft Fall Creators Update ist final für alle Geräte verfügbar
  2. BeA Noch mehr Sicherheitslücken im Anwaltspostfach
  3. VEP Charter Trump will etwas transparenter mit Sicherheitslücken umgehen

  1. Einhaltung eher Regel

    Nogul | 16:22

  2. Da bin ich wohl die Ausnahme...

    dreiti | 16:21

  3. Unitymedia 50 Mbit

    logged_in | 16:18

  4. Für 100g weniger wechsel ich nicht

    pica | 16:13

  5. Re: Copy on Write / ZFS

    elcaron | 16:11


  1. 15:46

  2. 15:30

  3. 15:09

  4. 14:58

  5. 14:21

  6. 13:25

  7. 12:30

  8. 12:00


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel