Epic Games: Peinliche Sicherheitslücke bei Fortnite für Android

Grund zur Schadenfreude bei Google: Bei der nicht im Play Store erhältlichen Android-Version von Fortnite hat Epic Games eine gravierende Sicherheitslücke übersehen. Die ist behoben - aber der Streit zwischen den Unternehmen geht weiter.

Artikel veröffentlicht am ,
Fortnite auf einem Smartphone
Fortnite auf einem Smartphone (Bild: Epic Games)

Epic Games hat bei der Android-Version von Fortnite Battle Royale eine Sicherheitslücke übersehen. Das Actionspiel ist nicht im Google Play Store, sondern nur direkt bei Epic erhältlich. Der Nutzer muss einen Installer auf sein Smartphone oder Tablet herunterladen und von dieser App werden dann Fortnite selbst und alle Updates installiert.

Stellenmarkt
  1. Entwickler (m/w/d) Steuerungstechnik - Maschinensoftware
    Kleemann GmbH, Göppingen
  2. IT-System- und Anwendungsbetreuer (m/w/d)
    Stadt Freising Personalamt, Freising bei München
Detailsuche

Genau bei diesem Installer gab es über mehrere Tage ein Problem: Er prüft zwar beim Herunterladen mittels einer Checksumme, ob es sich um die korrekte Spieledatei handelt. Aber wenn die Datei dann auf dem Mobilgerät ist und der Nutzer "Launch" antippt, wurde programmintern nur noch der Dateiname com.epicgames.fortnite abgefragt.

Ein Angreifer hätte also nach dem Herunterladen und Überprüfen der Datei die APK-Datei austauschen oder manipulieren können und sich die sehr weitgehenden Rechte sichern können, die Fortnite zugedacht waren. Das ist Mitarbeitern von Google Mitte August 2018 aufgefallen, die umgehend Epic Games informierten. Das Unternehmen veröffentlichte wenige Stunden später eine neue Version seines Installers.

Die Fassung mit der Sicherheitslücke wurde allerdings mehrere Tage vertrieben und dürfte noch auf vielen Smartphones vorhanden sein. Bislang gibt es keine Berichte darüber, dass die Lücke ausgenutzt wurde.

Golem Akademie
  1. IT-Fachseminare der Golem Akademie
    Live-Workshops zu Schlüsselqualifikationen
  2. 1:1-Videocoaching mit Golem Shifoo
    Berufliche Herausforderungen meistern
  3. Online-Sprachkurse mit Golem & Gymglish
    Kurze Lektionen, die funktionieren
Weitere IT-Trainings

Inzwischen hat sich Epic-Chef Tim Sweeney im Gespräch mit Andriod Central darüber beschwert, dass Google die Öffentlichkeit zu früh über die Sicherheitslücke informiert habe: "Ein für Sicherheit zuständiger Ingenieur von Epic hat Google aufgefordert, die Veröffentlichung um die üblichen 90 Tage zu verzögern, damit genügend Zeit für die Installation des Updates zur Verfügung steht. Das hat Google abgelehnt." Warum, ist nicht bekannt.

Bei Google dürfte man zwar entsetzt gewesen sein, eine derartige Lücke in einem äußerst populären Programm gefunden zu haben. Ein bisschen Schadenfreude dürfte aber auch dabei gewesen sein: Epic Games bietet Fortnite schließlich absichtlich und trotz allgemeiner Sicherheitswarnungen im Vorfeld nicht im Play Store an, um Google keine Provisionen beim Verkauf von Ingame-Extras abtreten zu müssen - das hatte Sweeney gesagt. Es gibt Schätzungen von Experten, denen zufolge Google dadurch rund 50 Millionen US-Dollar an Umsatz im Jahr entgehen.

Außerdem könnte das Vorgehen von Epic Games andere Spielehersteller dazu verleiten, ihre Produkte ebenfalls außerhalb des Play Store anzubieten. Auf dem iPhone ist der Umweg übrigens in dieser Form nicht möglich, Fortnite steht ganz regulär im App Store als Download bereit.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Sysadmin Day 2021
Immer mit dem Ohr an der Festplatte

Zum Sysadmin Day ein Blick auf einen Beruf, den ich fast zehn Jahre ausübte und immer wieder merkte: Ohne ausgeprägte Flexibilität ist er kaum zu bewältigen.
Ein Erfahrungsbericht von Jörg Thoma

Sysadmin Day 2021: Immer mit dem Ohr an der Festplatte
Artikel
  1. Xeon W-3300: Ice-Lake-Workstation-CPUs haben 38 Kerne
    Xeon W-3300
    Ice-Lake-Workstation-CPUs haben 38 Kerne

    Die Xeon W-3300 sollen den Abstand zu AMDs Threadripper Pro verkürzen, weshalb Intel endlich die volle RAM-Kapazität freigibt.

  2. Black Widow: Scarlett Johansson verklagt Disney
    Black Widow
    Scarlett Johansson verklagt Disney

    Scarlett Johansson hat wegen des Veröffentlichungsmodells von Black Widow Klage eingereicht. Disney nennt das Verhalten "herzlos".

  3. Victoria Big Battery: Feuer im Tesla-Netzspeicher in Australien ausgebrochen
    Victoria Big Battery
    Feuer im Tesla-Netzspeicher in Australien ausgebrochen

    Kein guter Start für einen neuen Netzspeicher von Tesla: Kurz nach Inbetriebnahme ist ein Feuer ausgebrochen.

TarikVaineTree 28. Aug 2018

Richtig! @Shoopi: Du hoffst also, dass etwas schief geht, wenn man es wagt, sich der...

CrushedIce 27. Aug 2018

Ist zwar so prinzipiell denkbar aber man kann auch gleich eine Taschenlampe app mit...

Noren 27. Aug 2018

Auch das ist nicht ganz korrekt. Bei Samsung sind unbegrenzte Rechte möglich. Bei allen...



Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Schnäppchen • Mega-Marken-Sparen bei MediaMarkt (u. a. Lenovo & Razer) • Tag der Freundschaft bei Saturn: 1 Produkt zahlen, 2 erhalten • Razer Deathadder V2 Pro Gaming-Maus 95€ • Alternate-Deals (u. a. Kingston 16GB Kit DDR4-3200MHz 81,90€) • Razer Kraken X Gaming-Headset 44€ [Werbung]
    •  /