Forscher meldet Sicherheitslücke in der App Google Admin

Sie dient der Verwaltung von "Google for Work"-Nutzern und -Gruppen in Firmen, Bildungseinrichtungen sowie Behörden. Dritt-Apps können sich ihre Rechte aneignen. Google patchte den Fehler von März bis zur Veröffentlichung nicht, legte aber jetzt ein Update vor.

Ein Sicherheitsforscher hat eine Lücke in Googles Admin-App veröffentlicht. Wie Vahagn Vardanyan von MWR Labs am Freitag auf Full Disclosure mitteilte, können andere Apps dadurch die Beschränkungen der Android-Sandbox umgehen und über symbolische Verknüpfungen auf beliebige Dateien zugreifen.

Konsole von Google Admin (Bild: Google)Konsole von Google Admin (Bild: Google)

Dazu müssen Angreifer die App mit einem Link im Format file:// aufrufen und den String calledsetup_url mit einer URL versehen, auf die ihre App zugriffsberechtigt ist. So können sie eine Webadresse mit den Zugriffsrechten von Google Admin in WebView öffnen und per iFrame beliebige Dateien ausführen. Damit sind alle Daten von Google Admin in ihrer Reichweite.

Google Admin dient der Verwaltung von „Google for Work„-Konten (früher Google Enterprise), wendet sich also an Administratoren in Firmen, Bildungseinrichtungen und Behörden. Von hier aus lassen sich Nutzerkonten etwa anlegen oder löschen, Berichte einsehen oder Gruppen verwalten. Es handelt sich folglich um eine sicherheitsrelevante Anwendung für hochrangiges IT-Personal in großen Einrichtungen.

Vardanyan hatte Google erstmals am 17. März über die Lücke informiert. Am Folgetag erhielt er eine Eingangsbestätigung. Weiter passierte nichts, bis MWR Labs im Juni nachhakte. Google räumte ein, das selbstgesteckte Zeitlimit überschritten zu haben, und bat um noch etwas Zeit vor der Publikation. Die Sicherheitsfirma kündigte daraufhin erst im Juli eine Veröffentlichung an, die sie am 13. August vollzog.

Zu diesem Zeitpunkt war die App nicht aktualisiert worden. Inzwischen ist aber ein Update vom 14. August verfügbar, das das Problem möglicherweise beseitigt: In Google Play sind nur „Bug fixes“ vermerkt. Bis zur endgültigen Klärung sollten auf Geräten mit der App Google Admin nur absolut vertrauenswürdige Apps installiert werden.

Umfrage

Dürfen Mitarbeiter in Ihrem Unternehmen private Smartphones nutzen?

Ergebnisse anzeigen

Loading ... Loading ...

Googles eigene Sicherheitsinitiative Project Zero ist bekannt dafür, Sicherheitslücken in fremden Produkten ohne Kompromiss 90 Tage nach Benachrichtigung des Anbieters zu veröffentlichen. Darüber hatte es schon einmal einen Streit mit Microsoft gegeben. Project Zero legt aber auch häufig Schwächen in Systemen von Adobe und Apple offen, die mit diesem Rhythmus weniger Probleme zu haben scheinen.

[mit Material von Charlie Osborne, ZDNet.com]

Tipp: Wie gut kennen Sie Google? Testen Sie Ihr Wissen – mit dem Quiz auf silicon.de.

HIGHLIGHT

Wie Samsung Knox das S6 und S6 Edge mit My Knox sicherer macht

Android-Smartphones werden immer häufiger auch in Unternehmen genutzt. Das ist auch einer der Gründe, warum Samsung seine Geräte besonders absichern will. Mit der Zusatzumgebung „Knox“ lassen sich Container im Betriebssystem des Smartphones erstellen und die private Daten von geschäftlichen trennen.

Themenseiten: Android, Google, Security, Sicherheit

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen Lesen Sie ZDNet-Artikel in Google Currents ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

Noch keine Kommentare zu Forscher meldet Sicherheitslücke in der App Google Admin

Kommentar hinzufügen

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *