Abo
  • IT-Karriere:

Blackphone: Schwerwiegender Fehler in der Messaging-App Silenttext

Über einen schwerwiegenden Fehler in der Messaging-Applikation Silenttext von Silent Circle könnten sich Angreifer Zugriff auf fremde Blackphones verschaffen. Die Sicherheitslücke befindet sich auch in der App für Android.

Artikel veröffentlicht am ,
Über einen Fehler in der Messaging-App von Silent Circle lassen sich verschlüsselte Nachrichten abhören.
Über einen Fehler in der Messaging-App von Silent Circle lassen sich verschlüsselte Nachrichten abhören. (Bild: Silent Circle)

In der Messaging-App Silenttext auf dem Blackphone ist ein schwerwiegender Fehler entdeckt worden, der es Angreifern erlaubt, Nachrichten zu entschlüsseln und sich im schlimmsten Fall sogar Zugriff auf das gesamte Smartphone zu verschaffen. Der Fehler ist auch in der Silenttext-App für Android vorhanden. Er wurde inzwischen behoben, Updates für das Blackphone und für die App im Play Store stehen bereit.

Stellenmarkt
  1. über experteer GmbH, Stuttgart
  2. Kratzer EDV GmbH, München

Bei der Schwachstelle handelt es sich um einen Speicherzugriffsfehler, über den Angreifer beliebigen Code einschleusen können. Dazu muss nur die Silent-Circle-ID beziehungsweise die Telefonnummer des Opfers bekannt sein. Die Lücke lässt sich auch ohne Zutun des Opfers ausnutzen. Zunächst lässt sich der eingeschleuste Code nur im Kontext der App ausführen. Damit können aber ein- und ausgehende Nachrichten entschlüsselt, Standortdaten abgegriffen und Kontakte ausgelesen werden. Auch Schreibzugriffe auf den Flashspeicher sind möglich. Außerdem könnten Angreifer Exploit-Code ausführen, der ihnen möglicherweise Root-Rechte auf das Smartphone verschafft.

Datentypenverwechslung

Die Sicherheitslücke lässt sich durch eine manipulierte Nachricht auslösen, die über das von Silent Circle verwendete Instant Messaging Protocol (SCIMP) versendet wird. Durch einen Fehler in der Bibliothek Libscimp können Angreifer den integrierten JSON-Parser YAJL (Yet Another JSON Parser) nutzen, um eigenen Code in den Arbeitsspeicher einzuschleusen. Dabei lässt sich eine sogenannte Type-Confusion-Lücke ausnutzen, bei der der Parser zwei verschiedene Datentypen verwechselt. Dadurch lässt sich unerlaubt auf Speicherbereiche zugreifen.

Eine detaillierte Beschreibung der Lücke hat der Datenexperte Mark Dowd in seinem Blog veröffentlicht. Er hatte den Fehler entdeckt und Silent Circle darüber informiert.



Anzeige
Top-Angebote
  1. (u. a. Lenovo Y25f-10 144 Hz für 159€)
  2. (u. a. Anno 1800 - Sonderausgabe für 33€ und Fast & Furious 6 Steelbook für 4,99€)
  3. 249,99€ + 5€-Versand (USK 18) - Bestpreis!
  4. (aktuell u. a. Corsair T1 Race 2018 in diversen Farben für 229,90€ + Versand. Bestpreis!)

der_heinz 30. Jan 2015

Ich benutze das Ding privat und deshalb zählt für mich vor allem, was ich privat an...


Folgen Sie uns
       


Asus ROG Phone 2 ausprobiert

Das neue ROG Phone II von Asus richtet sich an Mobile Gamer - ist angesichts der Topausstattung aber auch für alle anderen Nutzer interessant.

Asus ROG Phone 2 ausprobiert Video aufrufen
Ryzen 7 3800X im Test: Der schluckt zu viel
Ryzen 7 3800X im Test
"Der schluckt zu viel"

Minimal mehr Takt, vor allem aber ein höheres Power-Budget für gestiegene Frequenzen unter Last: Das war unsere Vorstellung vor dem Test des Ryzen 7 3800X. Doch die Achtkern-CPU überrascht negativ, weil AMD es beim günstigeren 3700X bereits ziemlich gut meinte.
Ein Test von Marc Sauter

  1. Epyc 7H12 & Ryzen 5 3500X AMD bringt 280-Watt-CPU und plant günstigen Sechskerner
  2. Agesa 1003abba Microcode-Update taktet Ryzen 3000 um 50 MHz höher
  3. Agesa 1003abb Viele ältere Platinen erhalten aktuelles UEFI für Ryzen 3000

IAA 2019: PS-Wahn statt Visionen
IAA 2019
PS-Wahn statt Visionen

IAA 2019 Alle Autobosse bekennen sich auf der IAA zur Nachhaltigkeit, doch auf den Ständen findet man weiterhin viele große, spritfressende Modelle. Dabei stellt sich die grundsätzliche Frage: Ist das Konzept der Automesse noch zeitgemäß?
Eine Analyse von Dirk Kunde


    Umwelt: Grüne Energie aus der Toilette
    Umwelt
    Grüne Energie aus der Toilette

    In Hamburg wird in bislang nicht gekanntem Maßstab getestet, wie gut sich aus Toilettenabwasser Strom und Wärme erzeugen lassen. Außerdem sollen aus dem Abwasser Pflanzennährstoffe für die Landwirtschaft gewonnen werden. Dafür müssen aber erst einmal die Schadstoffe aus den Gärresten gefiltert werden.
    Von Monika Rößiger

    1. Fridays for Future Klimastreiks online und offline

      •  /