Abo
  • Services:

Sicherheitslücke bei Android: AOSP-Browser soll über Javascript angreifbar sein

Wegen eines Fehlers in Androids AOSP-Browser soll es möglich sein, über eine präparierte Seite mit Javascript alle aktuellen Tabs und Cookies einsehen zu können. Betroffen sein sollen die Android-Versionen vor Kitkat - also viele Einsteiger- und Mittelklasse-Geräte.

Artikel veröffentlicht am ,
Der AOSP-Browser von Android hat offenbar ein Sicherheitsproblem.
Der AOSP-Browser von Android hat offenbar ein Sicherheitsproblem. (Bild: Tobias Költzsch/Golem.de)

Eine Sicherheitslücke im AOSP-Browser von Android ermöglicht es offenbar, dass Seiten mit Schadsoftware mittels Javascript auf Inhalte des Browsers zugreifen können. Entsprechend vorbereitete Seiten könnten alle geöffneten Tabs sowie die aktuell genutzten Cookies einlesen. Damit sind zahlreiche Missbrauchsszenarien denkbar, beispielsweise das Auslesen vertraulicher Daten, die in einem der Browser-Tabs geöffnet wurden.

Stellenmarkt
  1. Technische Universität Darmstadt, Darmstadt
  2. DePauli AG, Garching bei München

Entdeckt wurde die Sicherheitslücke laut einem Community-Beitrag im Forum von Rapid 7 bereits am 1. September 2014, bisher wurde der Fehler allerdings nicht sonderlich beachtet. Das könnte daran liegen, dass Nutzer mit dem AOSP-Browser eine speziell auf die Ausnutzung der Sicherheitslücke ausgerichtete Internetseite besuchen müssen. Hier würde dann über die Manipulation eines Javascript-URL-Handlers die Same-Origin-Policy des AOSP-Browsers ausgehebelt werden.

Über 70 Prozent der Nutzer theoretisch betroffen

Dies soll bei den Android-Versionen vor der aktuellen Version 4.4 funktionieren - welche immer noch von über 70 Prozent der Nutzer verwendet werden. Und nicht alle dieser Nutzer verwenden Chrome, insbesondere, da der AOSP-Browser schon seit längerem gut aussieht und eine Synchronisierung mit Chromes Lesezeichen ermöglicht. Zudem zeigt er Internetseiten meist deutlich ruckelfreier als Chrome an. Google selbst pflegt den AOSP-Browser mittlerweile nicht mehr, sondern setzt komplett auf Chrome - das von dem Fehler nicht betroffen ist.

Der AOSP-Browser wird gerade bei preiswerten Smartphones zunächst als Standardbrowser installiert und beispielsweise in der Schnellzugriffsleiste anstelle von Chrome angezeigt. Diese Smartphones laufen häufig mit Android-Versionen vor Kitkat, was zumindest die Grundvoraussetzung des Schadszenarios erfüllt.

Video mit zusätzlichen Erklärungen soll folgen

Die Autoren des Beitrags bei Rapid 7 erklären, dass sie aktuell noch testeten, wie relevant der Fehler tatsächlich sei - ihr erster Eindruck sei jedoch, dass es sich um ein durchaus gefährliches Szenario handele. Gegen Ende der Woche soll ein erklärendes Video veröffentlicht werden.



Anzeige
Top-Angebote

Lala Satalin... 17. Sep 2014

"All-new Safari browser!" ... Wie ich deren permanentes "all-new" hasse!

Lala Satalin... 17. Sep 2014

Hast du noch ein GT-I9000 oder wieso ruckelt Flash bei dir in Chrome/Firefox? oO


Folgen Sie uns
       


Amazons Echo Plus (2018) - Test

Der neue Echo Plus von Amazon liefert einen deutlich besseren Klang als alle bisherigen Echo-Lautsprecher. Praktisch ist außerdem der eingebaute Smart-Home-Hub. Der integrierte Temperatursensor muss aber noch bessser in Alexa integriert werden. Der neue Echo Plus ist zusammen mit einer Hue-Lampe von Philips für 150 Euro zu haben.

Amazons Echo Plus (2018) - Test Video aufrufen
Dark Rock Pro TR4 im Test: Be Quiet macht den Threadripper still
Dark Rock Pro TR4 im Test
Be Quiet macht den Threadripper still

Mit dem Dark Rock Pro TR4 hat Be Quiet einen tiefschwarzen CPU-Kühler für AMDs Threadripper im Angebot. Er überzeugt durch Leistung und den leisen Betrieb, bei Montage und Speicherkompatiblität liegt die Konkurrenz vorne. Die ist aber optisch teils deutlich weniger zurückhaltend.
Ein Test von Marc Sauter

  1. Dark Rock Pro TR4 Be Quiets schwarzer Doppelturm kühlt 32 Threadripper-Kerne

Wet Dreams Don't Dry im Test: Leisure Suit Larry im Land der Hipster
Wet Dreams Don't Dry im Test
Leisure Suit Larry im Land der Hipster

Der Möchtegernfrauenheld Larry Laffer kommt zurück aus der Gruft: In einem neuen Adventure namens Wet Dreams Don't Dry reist er direkt aus den 80ern ins Jahr 2018 - und landet in der Welt von Smartphone und Tinder.
Ein Test von Peter Steinlechner

  1. Life is Strange 2 im Test Interaktiver Road-Movie-Mystery-Thriller
  2. Adventure Leisure Suit Larry landet im 21. Jahrhundert

E-Mail-Verschlüsselung: 90 Prozent des Enigmail-Codes sind von mir
E-Mail-Verschlüsselung
"90 Prozent des Enigmail-Codes sind von mir"

Der Entwickler des beliebten OpenPGP-Addons für Thunderbird, Patrick Brunschwig, hätte nichts gegen Unterstützung durch bezahlte Vollzeitentwickler. So könnte Enigmail vielleicht endlich fester Bestandteil von Thunderbird werden.
Ein Interview von Jan Weisensee

  1. SigSpoof Signaturen fälschen mit GnuPG
  2. Librem 5 Purism-Smartphone bekommt Smartcard für Verschlüsselung

    •  /