Logo von Security

Suche
Abonnieren

Tägliche Top-News bei WhatsApp, Facebook Messenger, Telegram & Insta

preisvergleich_weiss

Recherche in 1.508.171 Produkten

Daniel Bachfeld 44

Android Market: XSS-Lücke ermöglichte unbefugte Installation von Apps

Google hat eine Cross-Site-Scripting-Lücke im Android Market geschlossen, die Angreifern die unbefugte Installation von Apps auf Android-Geräte ermöglichte – ohne physischen Zugriff auf das Gerät. Erst am Wochenende hatte Google mit Sicherheitsproblemen im Android Market zu kämpfen, nachdem Kriminelle 52 infizierte Apps eingestellt und verbreitet hatten.

Nach Angaben des Entdeckers der Lücke, dem Android-Sicherheitsspezialisten Jon Oberheide, fand sich die (persistente) XSS-Lücke im Beschreibungsfeld von Apps im Webstore des Android Market. Dort ließ sich JavaScript-Code hinterlegen, der beim Aufruf im Browser ausgeführt wurde. Ein bösartiges Skript hätte die Ferninstallation einer bösartigen App anstoßen können – vorausgesetzt, der Anwender wäre im Webstore angemeldet gewesen.

Nach der Installation wird eine App zwar nicht automatisch gestartet, es gibt aber Wege, um den Start aus der Ferne trotzdem zu veranlassen. Dazu muss die App im Manifest der Installationsdatei bekannt geben, auf welche Ereignisse im System sie reagieren kann, beispielsweise auf weitere Installationen (PACKAGE_ADDED) oder das Aufwachen aus dem Standby (ACTION_USER_PRESENT). Die Installation einer weiteren App über die nun geschlossene Lücke wäre nur eine Frage der geschickten Programmierung gewesen.

Dass die Ferninstallation von Apps über den Webstore Risiken birgt, hatten bereits AV-Hersteller kritisiert. Problematisch ist insbesondere, dass auf dem Zielgerät keine weitere Nachfrage erfolgt, ob die Installation erlaubt ist. Einen Hinweis auf eine (unbefugte) Installation erhält ein Opfer allein durch die Anzeige in der oberen Statuszeile, dass ein Download und eine Installation erfolgreich waren.

Kurios am Rande: Oberheide will zwar am kommenden Pwn2Own-Wettbwerb teilnehmen, hatte die XSS-Lücke an Google aber bereits im Vorfeld gemeldet, weil er dachte, sie würde nicht unter die Teilnahmebedingungen fallen. Dort hätten für das Übernehmen eines Android-Gerätes 15.000 US-Dollar gewinkt. Stattdessen erhält er nun im Rahmen des Bug-Bounty-Programms 1.337 US-Dollar. (dab)

44 Kommentare

Themen:

Anzeige
  1. Root-Exploits: Android anfällig für Dirty Cow und Rowhammer

    Rowhammer und Dirty Cow für Android

    Die Lücken sind bekannt – neu ist, dass auch Android betroffen ist. Forscher zeigen, dass sich Angreifer und Nutzer Root-Rechte verschaffen können, indem sie die Dirty-Cow- oder die Rowhammer-Attacke durchführen. Betroffen sein dürften viele Geräte.

  2. Apples Bug Bounty: "Wer mit Sicherheitslücken Geld verdient, meldet sie nicht an Apple"

    iPhone 7

    Bis zu 200.000 US-Dollar will Apple Experten zahlen, die schwere Lücken in seinen Betriebssystemen finden. Eine Befragung ergab nun, dass dies dem Vergleich mit Schwarzmarktpreisen nicht standhält.

  3. Netgear will Bug-Jägern bis zu 15.000 US-Dollar zahlen

    Netgear will Bug-Jägern bis zu 15.000 US-Dollar zahlen

    Der Netzwerkausrüster hat ein Bug-Bounty-Programm gestartet und will Sicherheitsforschern mit Prämien für das Auffinden von Lücken belohnen.

  4. Fiat Chrysler will mit Bug-Bounty-Programm Sicherheitsforscher belohnen

    Fiat Chrysler will mit Bug-Bounty-Programm Sicherheitsforscher belohnen

    Wer eine Schwachstelle in einem Service-Angebot von Fiat Chrysler findet, kann bis zu 1500 US-Dollar verdienen.

  1. Android O: Features, Download und Smartphone-Unterstützung

    Android O: Features, Download und Smartphone-Unterstützung

    Android 8 hat noch keinen Namen, deshalb läuft es unter dem Codenamen Android O. Viele Funktionen und die überarbeiteten Menüs kann man aber jetzt schon ausprobieren – ein Blick auf die Neuerungen.

  2. Progressive Web Apps, Teil 1: Das Web wird nativ(er)

    Hätten Sie es gedacht? Hier ticken HTML5 und JavaScript.

    Progressive Web Apps sind das App-Modell der Zukunft. Das behauptet zumindest Google und hat nichts Geringeres vor, als App-Stores verschwinden zu lassen.

  3. Android Nougat: Funktionen, Veröffentlichung, Preview-Versionen

    Android Nougat: Funktionen, Veröffentlichung, Preview-Versionen

    Die nächste Android-Version heißt Android Nougat und kommt im Herbst 2016. Welche Funktionen Google in Android ändert, kann man zum großen Teil jetzt schon sehen: dank der Developer-Preview-Versionen von Android N.

  1. "7 E-Books in 0,1 Sekunden": Vodafone startet 0,5 GBit/s-Anschlüsse in 100 deutschen Städten

    7 E-Books in 0,1 Sekunden: Vodafone startet 0,5 GBit/s-Anschlüsse in 100 deutschen Städten

    Rund 2,5 Millionen Kabel-Kunden können Vodafone-Internetanschlüsse mit bis zu 0,5 GBit/s buchen. Auch in Berlin startet der Ausbau.

  2. Gefährliche Hobby-Drohnen: Deutsche Flugsicherung bringt Wegweiser für Drohnen-Piloten

    Drohne und Flugzeug

    Private Drohnen können zur Gefahr für Flugzeuge werden. Mit einer App will die Deutsche Flugsicherung Hobbypiloten nun Orientierung bieten. Sie reagiert auf eine wachsende Zahl bedrohlicher Begegnungen.

  3. photokina: Neustart bei der weltgrößten Fotomesse

    Interview mit photokina-Manager Christoph Menke: Neustart bei der weltgrößten Fotomesse

    Die photokina wird modernisiert: U.a. soll die Fachmesse mit neuem Termin im Frühling, weniger Messetagen und jährlichem Turnus attraktiver werden. Für den Veranstalter steht viel auf dem Spiel. Ein Interview mit photokina-Manager Christoph Menke.

  4. 18-Jähriger meldet Fehler in Budapester E-Ticketing-System – und wird festgenommen

    18-Jähriger meldet Fehler in Budapester E-Ticketing-System – und wird festgenommen

    Das neue E-Ticketing-System für den Budapester ÖPNV war offenbar mit allzu heißer Nadel gestrickt. Ein 18-Jähriger Nutzer, der einen der Fehler entdeckte und dem Budapester Verkehrsunternehmen meldete, bekam daraufhin Besuch von der Polizei.

Anzeige