Bluebox: Sicherheitslücke in allen Android-Versionen

In Googles Mobilbetriebssystem Android ist eine Sicherheitslücke entdeckt worden. Darüber können Unbefugte Schadcode in eine App einfügen, ohne dass sich die kryptographische Signatur verändert. Eigentlich soll die Signatur genau das verhindern.

Artikel veröffentlicht am ,
Sicherheitslücke in allen Android-Versionen
Sicherheitslücke in allen Android-Versionen (Bild: Scott Akerman/Sterlic)

In allen noch in Gebrauch befindlichen Android-Versionen ist von der Sicherheitsfirma Bluebox eine Sicherheitslücke entdeckt worden. Sie ist bereits seit Android 1.6 alias Donut vorhanden. Bisher hat das Galaxy S4 von Samsung als einziges Android-Gerät ein Update erhalten, mit dem das Sicherheitsloch geschlossen wurde, wie die australische Webseite CIO berichtet.

Stellenmarkt
  1. Produckt Owner - Master Data Architecture and Costumer Interface (m/w/d)
    LEDVANCE GmbH, Garching
  2. Lead Architect ServiceNow (m/w/d)
    operational services GmbH & Co. KG, verschiedene Standorte
Detailsuche

Bluebox hat Google nach eigener Aussage bereits im Februar 2013 auf den Fehler hingewiesen. Im März 2013 soll Google seinerseits dann die Hersteller von Android-Geräten darüber informiert haben. In der Android-Basisversion hat Google das Sicherheitsloch bislang nicht gestopft, so dass auch alle Nexus-Modelle noch angreifbar sind. Wann Google und die anderen Hersteller von Android-Geräten entsprechende Patches veröffentlichen, ist derzeit nicht bekannt.

Das Sicherheitsloch ermöglicht es Angreifern, den Code einer App zu verändern, ohne dass dabei die kryptographische Signatur modifiziert wird. Unbefugte könnten so Schadcode in eine vorhandene App einschleusen und müssten den Nutzer dann nur noch zur Installation der betreffenden Datei verleiten. Eigentlich sollte das System in einem solchen Fall darauf hinweisen, dass der Code der Installationsdatei verändert wurde.

Wenn es einem Angreifer gelingt, eine derart manipulierte Datei auf das Android-Gerät zu bekommen, erhält er Zugriff auf das Gerät. Dabei kann er all das tun, was die unveränderte App ebenfalls kann. Es hängt also von der Basis-App ab, was für Möglichkeiten der Angreifer erlangt. Eine Rechteausweitung soll nicht möglich sein.

Golem Akademie
  1. ITIL 4® Foundation: virtueller Zwei-Tage-Workshop
    24.–25. Januar 2022, virtuell
  2. Apache Kafka Grundlagen: virtueller Zwei-Tage-Workshop
    21.–22. März 2022, Virtuell
Weitere IT-Trainings

Bei der Installation von Android-Apps sollten Nutzer daher besonders darauf achten, von wem die Installationsdatei stammt, rät Bluebox. Nur wenn der Nutzer ganz sicher ist, dass er dem Anbieter der App vertraut, sollte er die betreffende Datei installieren.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


SIDESTRE4M 05. Jul 2013

Das ist jetzt ne Glaubensfrage, aber ich hatte mal kurz Windows Phone 7 Mango auf meinem...

0xDEADC0DE 05. Jul 2013

Nein, du liegst goldrichtig... leider. HTC hat das Sensation auch einfach links liegen...

0xDEADC0DE 05. Jul 2013

Natürlich bin ich mir sicher, irgendwie müssen Flash Updates auf mein Sensation kommen.

zettifour 05. Jul 2013

So einfach ist es wohl nicht. Geht nur, wenn man das original gesicherte WLAN mit Radius...

Endwickler 05. Jul 2013

Und das macht niemand raus. Wer hätte das gedacht. :-)



Aktuell auf der Startseite von Golem.de
Ransomware
Jeder hat Daten, die eine Erpressung wert sind

Unbenutzbare Systeme, verlorene Daten und Schaden in Millionenhöhe: Wie ich einen Emotet-Angriff erlebt habe.
Ein Erfahrungsbericht von Lutz Olav Däumling

Ransomware: Jeder hat Daten, die eine Erpressung wert sind
Artikel
  1. Star Trek: Neuigkeiten zu Discovery, Picard und weiteren Serien
    Star Trek
    Neuigkeiten zu Discovery, Picard und weiteren Serien

    Die zweite Hälfte von Star Trek: Discovery kommt ab Februar auf Pluto TV. Außerdem gibt es Termine für weitere Star-Trek-Serien.

  2. AMD Radeon RX 6500 XT startet heute den Verkauf
     
    AMD Radeon RX 6500 XT startet heute den Verkauf

    Der erste Launch einer Grafikkarte in diesem Jahr steht heute an: mit der Radeon RX 6500 XT schickt AMD seine günstigste neue Karte ins Rennen.
    Ausgewählte Angebote des E-Commerce-Teams

  3. GPU System Processor: Nvidia nutzt interne Grafikkarten-CPU als Beschleuniger
    GPU System Processor
    Nvidia nutzt interne Grafikkarten-CPU als Beschleuniger

    Mit der Freischaltung des RISC-V-basierten GPU System Processor (GSP) soll mehr Leistung bei Systemen mit Nvidia-Grafikchips verfügbar sein.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • LG OLED 55" 120Hz 999€• MindStar (u.a. NZXT WaKü 129€, GTX 1660 499€) • Alternate (u.a. Seagate 1TB SSD 189,90€) • Samsung 16GB DDR5-4800 199€ • Huawei MateBook 16,1" 16GB 512GB SSD 709€ • RTX 3080 12GB 1.699€ • Samsung Gaming-Monitore (u.a. G5 32" WQHD 144Hz Curved 299€) [Werbung]
    •  /