Logo von heise online

Suche
preisvergleich_weiss

Recherche in 1.515.324 Produkten

Daniel Bachfeld 44

Android Market: XSS-Lücke ermöglichte unbefugte Installation von Apps

Google hat eine Cross-Site-Scripting-Lücke im Android Market geschlossen, die Angreifern die unbefugte Installation von Apps auf Android-Geräte ermöglichte – ohne physischen Zugriff auf das Gerät. Erst am Wochenende hatte Google mit Sicherheitsproblemen im Android Market zu kämpfen, nachdem Kriminelle 52 infizierte Apps eingestellt und verbreitet hatten.

Anzeige

Nach Angaben des Entdeckers der Lücke, dem Android-Sicherheitsspezialisten Jon Oberheide, fand sich die (persistente) XSS-Lücke im Beschreibungsfeld von Apps im Webstore des Android Market. Dort ließ sich JavaScript-Code hinterlegen, der beim Aufruf im Browser ausgeführt wurde. Ein bösartiges Skript hätte die Ferninstallation einer bösartigen App anstoßen können – vorausgesetzt, der Anwender wäre im Webstore angemeldet gewesen.

Nach der Installation wird eine App zwar nicht automatisch gestartet, es gibt aber Wege, um den Start aus der Ferne trotzdem zu veranlassen. Dazu muss die App im Manifest der Installationsdatei bekannt geben, auf welche Ereignisse im System sie reagieren kann, beispielsweise auf weitere Installationen (PACKAGE_ADDED) oder das Aufwachen aus dem Standby (ACTION_USER_PRESENT). Die Installation einer weiteren App über die nun geschlossene Lücke wäre nur eine Frage der geschickten Programmierung gewesen.

Dass die Ferninstallation von Apps über den Webstore Risiken birgt, hatten bereits AV-Hersteller kritisiert. Problematisch ist insbesondere, dass auf dem Zielgerät keine weitere Nachfrage erfolgt, ob die Installation erlaubt ist. Einen Hinweis auf eine (unbefugte) Installation erhält ein Opfer allein durch die Anzeige in der oberen Statuszeile, dass ein Download und eine Installation erfolgreich waren.

Kurios am Rande: Oberheide will zwar am kommenden Pwn2Own-Wettbwerb teilnehmen, hatte die XSS-Lücke an Google aber bereits im Vorfeld gemeldet, weil er dachte, sie würde nicht unter die Teilnahmebedingungen fallen. Dort hätten für das Übernehmen eines Android-Gerätes 15.000 US-Dollar gewinkt. Stattdessen erhält er nun im Rahmen des Bug-Bounty-Programms 1.337 US-Dollar. (dab)

44 Kommentare

Themen:

Anzeige
  1. Nexus-Serie: Google fixt abermals Mediaserver von Android

    Google Nexus 6

    Googles monatlicher Patchday für die Geräte der Nexus-Serie kümmert sich unter anderem um fünf als kritisch eingestufte Sicherheitslücken. Dabei taucht wieder der Mediaserver auf, der 2015 von verschiedenen Stagefright-Lücken durchsiebt war.

  2. Android-Sicherheitsupdates: Immer Ärger mit Stagefright

    Android-Sicherheitsupdates: Immer Ärger mit Stagefright

    Google wird die Stagefright-Probleme nicht los. Auch das März-Update patcht mehrere kritische Lücken, die in den Multimedia-Diensten der Android-Geräte stecken. Updates für Nexus-Smartphones und -Tablets werden bereits verteilt.

  3. Fiat Chrysler will mit Bug-Bounty-Programm Sicherheitsforscher belohnen

    Fiat Chrysler will mit Bug-Bounty-Programm Sicherheitsforscher belohnen

    Wer eine Schwachstelle in einem Service-Angebot von Fiat Chrysler findet, kann bis zu 1500 US-Dollar verdienen.

  4. Rekord-Patchday: Google patcht über 100 Android-Lücken in zwei Schüben

    Rekord-Patchday: Google patcht über 100 Android-Lücken in zwei Schüben

    Im Juli schließt Google so viele Android-Lücken wie nie zuvor. Um es den Herstellern leichter zu machen, kamen die Patches in zwei Schüben. Einige Android-Nutzer dürften bereits eine abgesicherte Version nutzen, andere müssen warten.

  1. Der Android-Test auf UXSS-Sicherheitslücke

    hide-on-desktop

    Millionen von Android-Handys sind anfällig für eine kritische Sicherheitslücke des Web-Browsers. Testen sie jetzt Ihr Smartphone, um heraus zu finden, ob Ihre Daten in Gefahr sind.

  2. Android Nougat: Funktionen, Veröffentlichung, Preview-Versionen

    Android Nougat: Funktionen, Veröffentlichung, Preview-Versionen

    Die nächste Android-Version heißt Android Nougat und kommt im Herbst 2016. Welche Funktionen Google in Android ändert, kann man zum großen Teil jetzt schon sehen: dank der Developer-Preview-Versionen von Android N.

  3. Hintergründe des Packstation-Hacks

    Hintergründe des Packstation-Hacks

    Mit gefälschter Kundenkarte und einer App konnten Angreifer DHL-Packstationen übernehmen. c't hat die Lücke nachvollzogen und zeigt, warum der Hack bis vor kurzem so leicht war.

  1. Stephen Hawking: Künstliche Intelligenz und Automation bedrohen Arbeitsplätze

    Stephen Hawking

    Der britische Physiker Stephen Hawking sieht durch das wachsende Potential von künstlicher Intelligenz und Automationstechnik Arbeitsplätze bedroht. Die flächendeckende Verfügbarkeit des Internets mache Ungleichheit zudem viel spürbarer.

  2. Vorstellung der nächsten PISA-Studie am Dienstag

    PISA-Studie

    Im Jahr 2001 rüttelte die erste OECD-Schulvergleichsstudie die Bildungspolitik auf, weil deutsche Schüler zu vergleichsweise schlechten Ergebnissen kamen. Am kommenden Dienstag, 6. Dezember, werden die aktuellen Ergebnisse vorgestellt.

  3. Reformpaket: EU-Kommission für ermäßigte Mehrwertsteuer bei E-Books

    E-Book

    Mit einer Reihe von Gesetzentwürfen will die EU-Kommission die Mehrwertsteuer für den digitalen Binnenmarkt fit machen und den grenzüberschreitenden Online-Handel beflügeln.

  4. Windows 10: Laufwerksverschlüsselung lässt sich während Versions-Upgrades umgehen

    Und noch ein Trick, weiterhin kostenlos an Windows 10 zu kommen

    Eine groteske Sicherheitslücke, die Microsoft selbst mit Konzepten zum komfortablen Administrieren eröffnet, gewährt Angreifern vollen Zugriff auf verschlüsselte Windows-Laufwerke. Einzige Voraussetzung: ausreichende Geduld.

Anzeige