Abo
  • Services:

Diverse Smarphones betroffen

Das Xperia Z3 verwendet den gleichen Bluetooth-Chip BCM4339 wie das Nexus 5, die Angriffe funktionieren hier entsprechend. Neben den beiden Smartphones sind weitere Geräte betroffen, deren Firmware die Sicherheitsforscher allerdings noch nicht genauso umfassend untersucht haben.

Stellenmarkt
  1. SCHOTT AG, Mainz
  2. Concentrix Wuppertal GmbH, Wuppertal

Die Sicherheitslücke scheint in der Firmware aller Broadcom-Chips die Bluetooth 4.0 unterstützen (ca. ab 2009) bis 2014. In neueren Chips sind die Funktionsaufrufe des Protokoll-Handlers limitiert worden, entsprechend ist der Angriff hier nicht mehr möglich. Das heißt jedoch nicht, dass neuere Produkte, die nach 2014 auf den Markt kamen, vor der Lücke gefeit sind. Beispielsweise sind neben dem Macbook Pro aus 2012 auch die Versionen von 2015 und 2016 betroffen, da sie noch ältere Chips enthalten. Neben den Macs sind auch Angriffe auf das iPhone 5, 5s und 6 möglich. Das Samsung Galaxy Note 3 sowie der Raspberry Pi 3 lassen sich ebenfalls kontrolliert zum Absturz bringen.

Warten auf Updates

Classen und Mantz informierten Broadcom bereits am 4. Oktober 2018 über die Sicherheitslücke. In einer ersten Reaktion blockte Broadcom ihnen zufolge ab: Die Sicherheitslücke existiere nicht. Am 3. Dezember bestätigte Broadcom die Lücke dann doch und kündigte an, sie zu patchen. Durch die vielen betroffenen Geräte, die zum Teil schon lange keinen Support mehr erhalten, gestaltet sich das flächendeckende Ausspielen eines Patches jedoch als kompliziert.

Classen und Mantz haben bereits einen Patch für das Nexus 5 geschrieben, wollen ihn allerdings aus Sicherheitsgründen nicht veröffentlichen. "Mit einem veröffentlichten Patch könnte die Lücke schnell gefunden werden und alle nicht gepatchten Geräte angegriffen werden", sagt Classen.

Die beiden forschen derweil weiter und versuchen durch Fuzzing, also das zufällige Senden von Parametern an den Protokoll-Handler, valide Parameter an die 250 Funktionen zu senden - die sie eigentlich nicht aufrufen können sollten. Vielleicht können sie dadurch weitere Funktionen mit validen Parametern ausführen oder im schlimmsten Fall Code ausführen. Möglich wäre noch vieles mit der Sicherheitslücke.

 Sicherheitslücke: DoS-Angriff auf Bluetooth-Chips von Broadcom
  1.  
  2. 1
  3. 2


Anzeige
Top-Angebote
  1. 99,00€ (lieferbar ab 1. April, versandkostenfrei)
  2. 99,00€ (zzgl. 1,99€ Versand)
  3. (u. a. Bis zu 33% Rabatt auf iPhone 6 Ersatzteile)
  4. (u. a. Spider-Man Homecoming, Wonder Woman)

LinuxMcBook 03. Jan 2019

Ja genau, der Nachfolger vom ESP8266 (welcher noch kein BT hatte!). Das macht das Gerät...

Frostwind 02. Jan 2019

Naja, es betrifft eigentlich nur wenige Gerätemodelle. Und selbst bei nur 10% Marktanteil...

Kondom 02. Jan 2019

Es gibt genug nette Menschen die meinen mit ihren BT-Boxen die gesamte Umgebung...


Folgen Sie uns
       


Sony Xperia 10 Plus - Hands on (MWC 2019)

Das Xperia 10 Plus hat Sony auf dem Mobile World Congress 2019 vorgestellt. Im ersten Hands on konnte uns die schmale Bauform überzeugen. Endlich gibt es auch Dual-Kamera-Technik. Das Xperia 10 Plus kommt Anfang März 2019 für 430 Euro auf den Markt.

Sony Xperia 10 Plus - Hands on (MWC 2019) Video aufrufen
Mobile Bezahldienste: Wie sicher sind Apple Pay und Google Pay?
Mobile Bezahldienste
Wie sicher sind Apple Pay und Google Pay?

Die Zahlungsdienste Apple Pay und Google Pay sind nach Ansicht von Experten sicherer als klassische Kreditkarten. In der täglichen Praxis schneidet ein Dienst etwas besser ab. Einige Haftungsfragen sind aber noch juristisch ungeklärt.
Von Andreas Maisch

  1. Anzeige Was Drittanbieter beim Open Banking beachten müssen
  2. Finanzdienstleister Wirecard sieht kein Fehlverhalten
  3. Fintech Wirecard wird zur Smartphone-Bank

Fido-Sticks im Test: Endlich schlechte Passwörter
Fido-Sticks im Test
Endlich schlechte Passwörter

Sicher mit nur einer PIN oder einem schlechten Passwort: Fido-Sticks sollen auf Tastendruck Zwei-Faktor-Authentifizierung oder passwortloses Anmelden ermöglichen. Golem.de hat getestet, ob sie halten, was sie versprechen.
Ein Test von Moritz Tremmel

  1. E-Mail-Marketing Datenbank mit 800 Millionen E-Mail-Adressen online
  2. Webauthn Standard für passwortloses Anmelden verabschiedet
  3. Studie Passwortmanager hinterlassen Passwörter im Arbeitsspeicher

Verschlüsselung: Die meisten Nutzer brauchen kein VPN
Verschlüsselung
Die meisten Nutzer brauchen kein VPN

VPN-Anbieter werben aggressiv und preisen ihre Produkte als Allheilmittel in Sachen Sicherheit an. Doch im modernen Internet nützen sie wenig und bringen oft sogar Gefahren mit sich.
Eine Analyse von Hanno Böck

  1. Security Wireguard-VPN für MacOS erschienen
  2. Security Wireguard-VPN für iOS verfügbar
  3. Outline Digitalocean und Alphabet-Tochter bieten individuelles VPN

    •  /