Google stopft kritische Lücke im Android Market

Alle Android-Geräte und -Versionen sind betroffen. Ein Angreifer kann über einen manipulierten Link schädliche Apps installieren. Nach Angaben des Entdeckers existierte der Fehler seit dem Start des Android Market.

Google hat einen Fehler im Android Market behoben, der es Angreifern ermöglicht, schädliche Anwendungen zu verteilen und darüber die Kontrolle über Geräte zu übernehmen. Nach Angaben des Sicherheitsforschers Jon Oberheide, der die Lücke gefunden und Mitte Februar Google gemeldet hatte, wurde das Loch schon vor etwa einer Woche gestopft.

„Seit dem Start des Android Market vor rund einem Jahr war es möglich, aus der Ferne Apps mit beliebigen Rechten auf ein Mobiltelefon aufzuspielen“, schreibt Oberheide, Gründer und Chief Technology Officer von Duo Security (vormals Scio Security), in einem Blogeintrag. Ein Opfer müsse lediglich dazu verleitet werden, auf seinem Handy oder seinem Desktop auf einen manipulierten Link zu klicken.

„Der Exploit funktioniert universell über alle Android-Geräte, Betriebssystemversionen und Architekturen hinweg“, heißt es weiter in dem Blogeintrag. Die zugrunde liegende Cross-Site-Scripting-Lücke (XSS) beschreibt Oberheide als eine „niedrig hängende Frucht“. Er sei überrascht, dass niemand vor ihm den Fehler, der in Websites sehr verbreitet sei, gefunden habe.

Die Möglichkeit, von Desktop-Rechnern aus über den Android Market beziehungsweise per Browser Anwendungen an ein Gerät zu schicken, sei sehr bequem, aber auch riskant, so Oberheide. Jede XSS-Lücke könne missbraucht werden, um eine App auf einem Mobiltelefon zu installieren. Da es auf dem Gerät keine Nachfrage oder Bestätigung für Installationsanforderungen gebe, könne ein Angreifer unbemerkt schädliche Anwendungen einspielen. Einzige Voraussetzung sei, dass ein Anwender auf seinem PC oder Mobiltelefon mit seinem Google-Konto angemeldet sei.

Im Gespräch mit ZDNet forderte er Google auf, in einem Pop-up-Fenster eine Bestätigung des Handybenutzers für App-Downloads einzuholen. Der Android Market sei „nicht von Natur aus unsicher, aber es besteht eine Gefahr, wenn man seinen Computer mit einem Google-Konto und seinem mobilen Gerät verbindet“, sagte Oberheide.

Google hat Oberheide zufolge für die Entdeckung der Lücke eine Belohnung von 1337 Dollar gezahlt. Erst danach habe er von dem in dieser Woche stattfindenden Hackerwettbewerb „Pwn2Own“ erfahren. Dort hätte er ein Preisgeld von bis zu 15.000 Dollar gewinnen können.

In der vergangenen Woche hatte Google mehr als 50 schädliche Applikationen aus dem Android Market verbannt. Sie werden nun aus der Ferne von den rund 260.000 Android-Handys gelöscht, die die Apps heruntergeladen hatten. Eine Sicherheitslösung von Google, die sich automatisch installiert, soll die Spuren der Malware entfernen.

Google hat eine Cross-Site-Scripting-Lücke im Android Market geschlossen (Bild: Jon Oberheide).
Google hat eine Cross-Site-Scripting-Lücke im Android Market geschlossen (Bild: Jon Oberheide).

HIGHLIGHT

Malware für Android: echte Gefahr oder Übertreibung?

Antivirenhersteller warnen vor Schädlingen im Android Market und bieten kostenpflichtigen Schutz an. ZDNet erläutert, warum es faktisch keine Malware für das Google OS gibt, und ein Virenschutz nicht erforderlich ist.

Themenseiten: Android, Google, Mobile, Smartphone

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen Lesen Sie ZDNet-Artikel in Google Currents ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

Noch keine Kommentare zu Google stopft kritische Lücke im Android Market

Kommentar hinzufügen

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *