• IT-Karriere:
  • Services:

Google & Samsung: Sicherheitslücke ermöglichte Apps Zugriff auf die Kamera

Über die Kamera-Apps von Google und Samsung konnten andere Apps auch ohne eine entsprechende Berechtigung Bild- und Tonaufnahmen erstellen. Auch ein Zugriff auf GPS und das Mitschneiden von Telefongesprächen war möglich. Andere Hersteller könnten ebenfalls betroffen sein.

Artikel veröffentlicht am ,
Die Kamera-App von Google konnte von anderen Apps ausgenutzt werden.
Die Kamera-App von Google konnte von anderen Apps ausgenutzt werden. (Bild: Pathum Danthanarayana/Unsplash)

Auch ohne eine entsprechende Berechtigung konnten Apps unter Android auf die Kamera zugreifen und Bilder, Videos und Ton aufnehmen. Die Sicherheitsforscher Erez Yalon und Pedro Umbelino von der Sicherheitsfirma Checkmarx nutzten hierzu Schwachstellen in den Kamera-Apps von Google, Samsung und anderen Herstellern aus, um über diese Zugriff auf die Kamera zu bekommen. Google und Samsung haben die Sicherheitslücken bestätigt und beseitigt, andere Hersteller könnten nach wie vor betroffen sein. Zuerst hatte das Onlinemagazin Arstechnica berichtet.

Stellenmarkt
  1. IDS Imaging Development Systems GmbH, Obersulm
  2. RENA Technologies GmbH, Gütenbach

Über manipulierte Anfragen an Googles Kamera-App konnten die Sicherheitsforscher auf ihren Testgeräten, einem Google Pixel 2 XL und Pixel 3, Fotos und Videos aufnehmen - eine entsprechende Berechtigung benötigten die Sicherheitsforscher nicht, diese hatte die Kamera-App bereits. Das funktionierte auch bei gesperrten Geräten oder wenn mit dem Smartphone telefoniert wurde. Auf diese Weise ließen sich beispielsweise Telefongespräche mitschneiden. Hatte die Kamera-App die Berechtigung, den Standort abzufragen, konnte dieser auch von den Sicherheitsforschern abgefragt werden.

Um die Daten an einen Command-and-Control-Server zu senden, benötigten die Sicherheitsforscher jedoch die Berechtigung für den Speicherzugriff - laut Checkmarx eine der gebräuchlichsten App-Berechtigungen. Das Angriffsszenario funktioniert nicht nur mit Googles App, sondern auch mit den Kamera-Apps von Samsung und weiteren, nicht genannten Herstellern.

Eine Wetter-App greift unberechtigt auf die Kamera zu

Die Sicherheitsforscher programmierten eine Proof-of-Concept-App, die sie als einfache Wetter-App tarnten, um die Möglichkeiten eines Angreifers zu demonstrieren. Wird die Wetter-App gestartet, baut diese eine persistente Verbindung zu einem Command-and-Control-Server auf und wartet auf dessen Instruktionen. Auch wenn die App geschlossen wird, bleibt die Verbindung bestehen. Über diese kann ein Angreifer Bild- und Tonaufnahmen mit der Kamera des Smartphones erstellen und an den Server senden lassen. Damit lassen sich auch Telefongespräche aufnehmen, die die App über die Sensorik des Smartphones automatisch erkennen kann, wenn das Telefon an das Ohr gehalten wird. In dieser Position lassen sich zudem Fotos oder Videos der Umgebung aufnehmen, beispielsweise Flip-Charts in Firmen.

Golem Akademie
  1. IT-Sicherheit für Webentwickler
    31. Mai - 1. Juni 2021, online
Weitere IT-Trainings

"Die Möglichkeit, dass eine Anwendung Eingaben von Kamera, Mikrofon und GPS abrufen kann, wird von Google selbst als sehr invasiv angesehen, daher hat AOSP eine bestimmte Berechtigung eingeführt, die eine Anwendung vom Benutzer anfordern muss", schreiben die Sicherheitsforscher. Die Berechtigungen können zwar umgangen werden, ganz heimlich findet der Zugriff allerdings nicht statt: Wenn die Kamera aktiv ist, kann der Nutzer dies durch einen Hinweis auf dem Display des Smartphones erkennen. Liegt das Smartphone allerdings auf dem Display, was die Sicherheitsforscher ebenfalls auslesen konnten, kann der Hinweis nicht gesehen werden.

Checkmarx hat die Sicherheitslücke im Juli an Google gemeldet. Der Android-Hersteller hat zeitnah ein Update veröffentlicht. Nutzer können dies über die App-Informationen überprüfen: Wurde die Kamera-App zuletzt im Juli 2019 oder danach aktualisiert, ist die Sicherheitslücke behoben. Laut Samsung wurden Patches für alle betroffenen Geräte des Herstellers veröffentlicht.

Eigentlich soll das Android-Berechtigungsmodell davor schützen, dass Apps an sensible Daten wie den Standort, Kamerazugriff oder die Geräte-ID kommen. Das Berechtigungsmodell lässt sich jedoch auf vielfältige Weise umgehen. Das zeigt neben der Untersuchung von Checkmarx auch eine Studie von mehreren Universitäten aus den USA, Kanada und Spanien. Die Forscher untersuchten 88.000 Apps, die aus der US-Version des Google Play Stores stammten. Dabei fanden sie 1.325 Programme, die ohne eine entsprechende Berechtigung Zugriff auf Daten erlangen konnten. Zum Teil tauschen Apps Daten über den Gerätespeicher aus.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Hardware-Angebote
  1. (reduzierte Überstände, Restposten & Co.)
  2. (u. a. Ryzen 5 5600X 358,03€)

Folgen Sie uns
       


Automatische Untertitel in Premiere Pro Beta - Tutorial

Wir zeigen, wie sich Untertitel per KI-Spracherkennung erzeugen lassen.

Automatische Untertitel in Premiere Pro Beta - Tutorial Video aufrufen
Programm für IT-Jobeinstieg: Hoffen auf den Klebeeffekt
Programm für IT-Jobeinstieg
Hoffen auf den Klebeeffekt

Aktuell ist der Jobeinstieg für junge Ingenieure und Informatiker schwer. Um ihnen zu helfen, hat das Land Baden-Württemberg eine interessante Idee: Es macht sich selbst zur Zeitarbeitsfirma.
Ein Bericht von Peter Ilg

  1. Arbeitszeit Das Sechs-Stunden-Experiment bei Sipgate
  2. Neuorientierung im IT-Job Endlich mal machen!
  3. IT-Unternehmen Die richtige Software für ein Projekt finden

Weclapp-CTO Ertan Özdil: Wir dürfen nicht in Schönheit und Perfektion untergehen!
Weclapp-CTO Ertan Özdil
"Wir dürfen nicht in Schönheit und Perfektion untergehen!"

Der CTO von Weclapp träumt von smarter Software, die menschliches Eingreifen in der nächsten ERP-Generation reduziert. Deutschen Perfektionismus hält Ertan Özdil aber für gefährlich.
Ein Interview von Maja Hoock


    Fiat 500 als E-Auto im Test: Kleinstwagen mit großem Potenzial
    Fiat 500 als E-Auto im Test
    Kleinstwagen mit großem Potenzial

    Fiat hat einen neuen 500er entwickelt. Der Kleine fährt elektrisch - und zwar richtig gut.
    Ein Test von Peter Ilg

    1. Vierradlenkung Elektrischer GMC Hummer SUV fährt im Krabbengang seitwärts
    2. MG Cyberster MG B Roadster mit Lasergürtel und Union Jack
    3. Elektroauto E-Auto-Prämie übersteigt in 2021 schon Vorjahressumme

      •  /