Abo
  • Services:
Anzeige
Über einen Fehler in der Messaging-App von Silent Circle lassen sich verschlüsselte Nachrichten abhören.
Über einen Fehler in der Messaging-App von Silent Circle lassen sich verschlüsselte Nachrichten abhören. (Bild: Silent Circle)

Blackphone: Schwerwiegender Fehler in der Messaging-App Silenttext

Über einen Fehler in der Messaging-App von Silent Circle lassen sich verschlüsselte Nachrichten abhören.
Über einen Fehler in der Messaging-App von Silent Circle lassen sich verschlüsselte Nachrichten abhören. (Bild: Silent Circle)

Über einen schwerwiegenden Fehler in der Messaging-Applikation Silenttext von Silent Circle könnten sich Angreifer Zugriff auf fremde Blackphones verschaffen. Die Sicherheitslücke befindet sich auch in der App für Android.

Anzeige

In der Messaging-App Silenttext auf dem Blackphone ist ein schwerwiegender Fehler entdeckt worden, der es Angreifern erlaubt, Nachrichten zu entschlüsseln und sich im schlimmsten Fall sogar Zugriff auf das gesamte Smartphone zu verschaffen. Der Fehler ist auch in der Silenttext-App für Android vorhanden. Er wurde inzwischen behoben, Updates für das Blackphone und für die App im Play Store stehen bereit.

Bei der Schwachstelle handelt es sich um einen Speicherzugriffsfehler, über den Angreifer beliebigen Code einschleusen können. Dazu muss nur die Silent-Circle-ID beziehungsweise die Telefonnummer des Opfers bekannt sein. Die Lücke lässt sich auch ohne Zutun des Opfers ausnutzen. Zunächst lässt sich der eingeschleuste Code nur im Kontext der App ausführen. Damit können aber ein- und ausgehende Nachrichten entschlüsselt, Standortdaten abgegriffen und Kontakte ausgelesen werden. Auch Schreibzugriffe auf den Flashspeicher sind möglich. Außerdem könnten Angreifer Exploit-Code ausführen, der ihnen möglicherweise Root-Rechte auf das Smartphone verschafft.

Datentypenverwechslung

Die Sicherheitslücke lässt sich durch eine manipulierte Nachricht auslösen, die über das von Silent Circle verwendete Instant Messaging Protocol (SCIMP) versendet wird. Durch einen Fehler in der Bibliothek Libscimp können Angreifer den integrierten JSON-Parser YAJL (Yet Another JSON Parser) nutzen, um eigenen Code in den Arbeitsspeicher einzuschleusen. Dabei lässt sich eine sogenannte Type-Confusion-Lücke ausnutzen, bei der der Parser zwei verschiedene Datentypen verwechselt. Dadurch lässt sich unerlaubt auf Speicherbereiche zugreifen.

Eine detaillierte Beschreibung der Lücke hat der Datenexperte Mark Dowd in seinem Blog veröffentlicht. Er hatte den Fehler entdeckt und Silent Circle darüber informiert.


eye home zur Startseite
der_heinz 30. Jan 2015

Ich benutze das Ding privat und deshalb zählt für mich vor allem, was ich privat an...



Anzeige

Stellenmarkt
  1. Endress+Hauser Conducta GmbH+Co. KG, Waldheim (bei Dresden)
  2. Teradata GmbH, Düsseldorf
  3. MAQUET Holding B.V. & Co. KG, Rastatt
  4. Bertrandt Ingenieurbüro GmbH, München


Anzeige
Top-Angebote
  1. (u. a. Assassins Creed Origins 39,99€, Watch Dogs 2 18,99€, The Division 16,99€, Steep 17...
  2. mit Gutscheincode "PCGBALLZ" (-23%) 45,99€

Folgen Sie uns
       


  1. Sprachassistenten

    Alexa ist Feministin

  2. Elektromobilität

    Elektroautos werden langsam beliebter in Deutschland

  3. Crypto-Bibliothek

    OpenSSL bekommt Patch-Dienstag und wird transparenter

  4. Spectre und Meltdown

    Kleine Helferlein überprüfen den Rechner

  5. Anfrage

    Senat sieht sich für WLAN im U-Bahn-Tunnel nicht zuständig

  6. Gaming

    Über 3 Millionen deutsche Spieler treiben regelmäßig E-Sport

  7. Raumfahrt

    Weltraummüll-Räumkommando mit Laserkanonen

  8. Smartphone

    Nokia 2 kommt für 120 Euro nach Deutschland

  9. Remote Desktop

    Teamviewer kommt für IoT-Geräte wie den Raspberry Pi

  10. Telekom-Chef

    Regulierung soll an schlechtem Glasfaserausbau schuld sein



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
EU-Urheberrechtsreform: Abmahnungen treffen "nur die Dummen"
EU-Urheberrechtsreform
Abmahnungen treffen "nur die Dummen"
  1. EU-Netzpolitik Mit vollen Hosen in die App-ocalypse
  2. Leistungsschutzrecht EU-Kommission hält kritische Studie zurück
  3. Leistungsschutzrecht EU-Staaten uneins bei Urheberrechtsreform

Computerforschung: Quantencomputer aus Silizium werden realistisch
Computerforschung
Quantencomputer aus Silizium werden realistisch
  1. Tangle Lake Intel zeigt 49-Qubit-Chip
  2. Die Woche im Video Alles kaputt
  3. Q# und QDK Microsoft veröffentlicht Entwicklungskit für Quantenrechner

Netzsperren: Wie Katalonien die spanische Internetzensur austrickste
Netzsperren
Wie Katalonien die spanische Internetzensur austrickste

  1. Alexa, wo ist das nächste Freudenhaus?

    Nr.1 | 15:14

  2. Re: Kompetitiv = Liga?

    Colorado | 15:13

  3. Re: Der Smart III ist kein Smart...

    demon driver | 15:13

  4. Vor inbetriebnahme...

    HAL100 | 15:12

  5. GRC Gibson? Gibt es den noch?

    Berlinlowa | 15:10


  1. 15:02

  2. 14:24

  3. 13:28

  4. 13:21

  5. 13:01

  6. 12:34

  7. 12:04

  8. 11:43


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel