Abo
  • Services:

Tastatur-Schwachstelle: Samsung liefert Patch aus

Für die Schwachstelle in seiner Tastatur-App hat Samsung jetzt einen Patch veröffentlicht, der bereits als Over-The-Air-Update ausgeliefert wird.

Artikel veröffentlicht am ,
Samsung hat jetzt ein Update für seine Tastatur-App veröffentlicht, das eine Schwachstelle behebt.
Samsung hat jetzt ein Update für seine Tastatur-App veröffentlicht, das eine Schwachstelle behebt. (Bild: Screenshot Golem.de)

Nachdem Details über die Schwachstelle in Samsungs Tastatur-App veröffentlicht wurden, hat der Hersteller jetzt schnell reagiert: Inzwischen wird ein Patch als OTA-Update ausgeliefert. Die Schwachstelle erlaubte das Einschleusen von Code, weil die Samsung-eigene App eine unverschlüsselte Verbindung zum Server des Herstellers aufbaut, um nach Aktualisierungen zu suchen.

Stellenmarkt
  1. MBtech Group GmbH & Co. KGaA, Sindelfingen
  2. TUI Deutschland GmbH, deutschlandweit

Die Schwachstelle betrifft Samsungs Smartphones der S-Reihe - genauer Samsungs Galaxy S3, S4, S5 und S6 sowie Galaxy Note 3 und Note 4. Für diese Modelle hat Samsung die Tastatur-App von Swiftkey lizenziert. Die angepasste App namens Samsung IME erkundigt sich regelmäßig bei den Swiftkey-Servern nach Updates, und zwar alle paar Stunden sowie nach jedem Neustart, wie die Experten bei Nowsecure beobachteten, die die Schwachstelle entdeckt haben. Die Anfragen und auch die Updates selbst erfolgen über das unverschlüsselte HTTP. Darüber werden auch neue Sprachmodule installiert, wenn ein Anwender sie anfordert.

Zugriff mit erweiterten Systemrechten

Zwar enthalten die Updates und Sprachmodule eine Checksumme in Form eines SHA1-Hashwerts. Dieser Schlüssel wird aber zuvor in einer ebenfalls ungesicherten Manifest-Datei übermittelt. Die Datei lässt sich leicht manipulieren, etwa um sie mit einem eigenen SHA1-Hash zu versehen und anschließend dem Anwender unterzujubeln. Anschließend könnte ein Angreifer beliebigen Code einschleusen. Da die Tastatur-App mit erweiterten Systemrechten läuft, lässt sich manipulierter Code auch persistent im System einschleusen.

Bereits im November 2014 informierte Nowsecure Samsung über die Schwachstelle, und der Smartphone-Hersteller stellte zügig einen Patch dafür bereit. Updates für mindestens Android 4.2 auf den betroffenen Geräten sollen das Problem nach Angaben des Herstellers beheben. Allerdings hat Samsung erst jetzt damit begonnen, den Patch auszuliefern.

Wie Samsung uns mitteilte, war der Android-Kernel nicht gefährdet, auch wenn Samsung IME mit erweiterten Systemrechten läuft. Angreifer hätten also keine Möglichkeit, Root-Rechte auf den betroffenen Smartphones zu erlangen.



Anzeige
Hardware-Angebote
  1. 106,34€ + Versand

chiefmasterbrid... 01. Jul 2015

Wie kann ich denn überprüfen, ob mein Samsung Smartphone den Patch erhalten hat?


Folgen Sie uns
       


Samsung Galaxy S9 und S9 Plus - Test

Das Galaxy S9 und das Galaxy S9+ sind Samsungs neue Oberklasse-Smartphones. Golem.de hat sich im Test besonders die neuen Kameras angeschaut, die eine variable Blende haben.

Samsung Galaxy S9 und S9 Plus - Test Video aufrufen
Datenschutz-Grundverordnung: Was Unternehmen und Admins jetzt tun müssen
Datenschutz-Grundverordnung
Was Unternehmen und Admins jetzt tun müssen

Ab dem 25. Mai gilt europaweit ein neues Datenschutz-Gesetz, das für Unternehmen neue rechtliche Verpflichtungen schafft. Trotz der nahenden Frist sind viele IT-Firmen schlecht vorbereitet. Wir erklären, was auf Geschäftsführung und Admins zukommt.
Von Jan Weisensee

  1. 2019 Schweiz beginnt UKW-Abschaltung
  2. Cybersecurity Tech Accord IT-Branche verbündet sich gegen Nationalstaaten
  3. Black Friday Markeninhaber plant Beschwerde gegen Löschung

Blue Byte: Auf dem Weg in schöner generierte Welten
Blue Byte
Auf dem Weg in schöner generierte Welten

Quo Vadis Gemeinsam mit der Universität Köln arbeitet Ubisoft Blue Byte an neuen Technologien für prozedural generierte Welten. Producer Marc Braun hat einige der neuen Ansätze vorgestellt.

  1. Influencer Fortnite schlägt Minecraft
  2. Politik in Games Zwischen Völkerfreundschaft und Präsidentenprügel
  3. Förderung Spielebranche will 50 Millionen Euro vom Steuerzahler

NUC8i7HVK (Hades Canyon) im Test: Intels Monster-Mini mit Radeon-Grafikeinheit
NUC8i7HVK (Hades Canyon) im Test
Intels Monster-Mini mit Radeon-Grafikeinheit

Unter dem leuchtenden Schädel steckt der bisher schnellste NUC: Der buchgroße Hades Canyon kombiniert einen Intel-Quadcore mit AMDs Vega-GPU und strotzt förmlich vor Anschlüssen. Obendrein ist er recht leise und eignet sich für VR - selten hat uns ein System so gut gefallen.
Ein Test von Marc Sauter und Sebastian Grüner

  1. Crimson Canyon Intel plant weiteren Mini-PC mit Radeon-Grafik
  2. NUC7CJYS und NUC7PJYH Intel bringt Atom-betriebene Mini-PCs
  3. NUC8 Intels Mini-PC hat mächtig viel Leistung

    •  /