Android-Schwachstelle: Bösartige Apps können unberechtigt telefonieren

Über eine Schwachstelle in Android können Apps Telefonverbindungen aufbauen oder bestehende kappen. Außerdem können sie USSD-Codes ausführen.

Artikel veröffentlicht am ,
Über eine Schwachstelle in Android können Apps unerlaubt auf die Telefonfunktion zugreifen.
Über eine Schwachstelle in Android können Apps unerlaubt auf die Telefonfunktion zugreifen. (Bild: Curesec)

Das Berliner Sicherheitsunternehmen Curesec hat eine weitere Schwachstelle in Googles Android-Betriebssystem entdeckt. Darüber können bösartige Apps Telefonverbindungen aufbauen oder abbrechen. Außerdem können sie auch ohne Berechtigungen sogenannte USSD-Codes ausführen, die unter anderem tief ins System eingreifen können. Nach Recherchen Curesecs sind sämtliche Versionen von 4.1.1 bis einschließlich 4.4.2 betroffen.

Stellenmarkt
  1. Dev-Ops Engineer Website (f/m/d)
    Beiersdorf AG, Hamburg
  2. Trainer IT (m/w/d) Intralogistik Leitstand
    WITRON Gruppe, Parkstein (Raum Weiden / Oberpfalz)
Detailsuche

Die Schwachstelle beruht auf zu lockeren Berechtigungen in der Klasse NotificationBroadcastReceiver. Generell haben Apps die Berechtigung, auf die Funktionen ACTION_HANG_UP_ONGOING_CALL und ACTION_CALL_BACK_FROM_NOTIFICATION zuzugreifen. Letzterer ruft die Funktion ACTION_CALL_PRIVILEGED auf, die es ermöglicht, eine Telefonverbindung aufzubauen. Zwar bekomme der Besitzer des Smartphones zumindest angezeigt, wenn eine App versuche zu telefonieren. Allerdings könne die bösartige App beispielsweise so programmiert werden, dass sie Verbindungen in den Nachtstunden aufbaut, gibt Marco Lux zu bedenken, der zusammen mit Pedro Umbelino die Schwachstelle untersucht hat. Über die Funktion ACTION_SEND_SMS_FROM_NOTIFICATION könnte eine App auch SMS versenden. Hier müsse der Benutzer aber selbst eingreifen, daher sei diese Schwachstelle am wenigsten interessant.

Zugriff auf USSDs

Über die Schwachstelle können Apps auch USSDs - die internen Systembefehle unter Android - über die Telefonfunktion auslösen, deren Ausführung normalerweise per Eingabetaste bestätigt werden muss. Dadurch könnte eine App Zugriff auf tiefgreifende Funktionen eines Smartphones erhalten, selbst auf die SIM-Karte. Hier gebe es noch einigen Recherchebedarf, sagte Lux. Noch sei unklar, welche Codes tatsächlich funktionieren und welche nicht. Beispielsweise konnten die Sicherheitsforscher über den Bug die IMEI nicht auslesen. Auch seien die Codes teils hersteller- und providerabhängig, gibt Lux zu bedenken. Tatsächlich könnte der unkontrollierte Zugriff auf die USSDs noch schwerwiegendere Folgen für den Benutzer haben als nur den unerlaubten Aufbau einer kostenpflichtigen Telefonverbindung.

Cureces hatte Google bereits Ende Oktober 2013 über die Schwachstelle informiert. Ende Januar berichtete Google, dass ein Patch erarbeitet sei und integriert werden würde. Laut Curesec sei der Fehler jedoch lediglich in den aktuelleren Versionen 4.4.3 und 4.4.4 von Android behoben. In den anderen Versionen bestehe er weiterhin. Deshalb habe sich Curesec entschlossen, den Fehler (CVE-2013-6272) publik zu machen.

Kein Schutz möglich

Golem Akademie
  1. Penetration Testing Fundamentals
    23.-24. September 2021, online
  2. Microsoft 365 Security Workshop
    9.-11. Juni 2021, Online
Weitere IT-Trainings

Der Anwender könne gegen die Schwachstelle nichts tun, sagte Lux zu Golem.de. Selbst eine Überprüfung der Berechtigungen einer App hilft nichts, da der Bug einen unberechtigten Zugang zur Telefonfunktion ermögliche. Es gebe auch keine Werkzeuge, mit denen solche Berechtigungen für einzelne Apps gesperrt werden können. Google könne zwar Apps im Play Store daraufhin untersuchen, ob sie diese Schwachstelle ausnutzen, das sei aber ein kompliziertes Verfahren, sagte Lux Golem.de.

Curesec hat zu dem Fehler ein Proof-of-Concept veröffentlicht. In einer App lässt sich die Schwachstelle überprüfen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Glasfaser
Berliner Senat blamiert sich mit Gigabitstrategie

Der Berliner Senat ist nach Jahren aus dem Dämmerzustand hochgeschreckt und hat nun eine Gigabitstrategie. Warum haben sie nicht einfach geschwiegen?
Ein IMHO von Achim Sawall

Glasfaser: Berliner Senat blamiert sich mit Gigabitstrategie
Artikel
  1. Razer: Der erste Blade-Laptop mit Ryzen ist da
    Razer
    Der erste Blade-Laptop mit Ryzen ist da

    Wieder 14 Zoll, erstmals mit AMD-Chip: Das neue Razer Blade kombiniert einen 75-Watt-Ryzen mit der flottesten Geforce RTX.
    Ein Hands-on von Marc Sauter

  2. Selbständige: Vodafone mit neuen Tarifen ohne Preissteigerung
    Selbständige
    Vodafone mit neuen Tarifen ohne Preissteigerung

    Vodafone wird seine Preise in neuen Tarifen für Selbständige nach 24 Monaten nicht mehr anheben.

  3. Coronapandemie: Einige Microsoft-Admins schliefen direkt in Rechenzentren
    Coronapandemie
    Einige Microsoft-Admins schliefen direkt in Rechenzentren

    Um weite Arbeitswege und Verspätungen zu vermeiden, hatten es sich einige Microsoft-Mitarbeiter in den eigenen Rechenzentren bequem gemacht.

Demon666 10. Jul 2014

Wäre es nicht sinnvoll - gerade da die Koryphäen wie Leutheusser-Schnarrenberger, Schaar...

Lala Satalin... 10. Jul 2014

Welches HTC One ist das? M7 oder M8? Wenn schon, dann bitte präzise!


Folgen Sie uns
       


Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Schnäppchen • Dualsense 59,99€ • Battlefield 2042 PC 53,99€ • XXL Sale bei Alternate • Rainbow Six Extraction Limited PS5 69,99€ • Sony Pulse 3D-Headset PS5 99,99€ • Snakebyte Gaming Seat Evo 149,99€ • Bethesda E3 Promo bei GP [Werbung]
    •  /