Forscher von Googles Project Zero haben am Beispiel des Samsung Galaxy S6 Edge die Sicherheit von Software untersucht, die OEMs ab Werk zu Android hinzufügen. Innerhalb einer Woche fanden sie 11 Anfälligkeiten. Samsungs Code erlaubt demnach den Zugriff auf persönliche Informationen und das Einschleusen und Ausführen von Schadcode. 8 der 11 Schwachstellen hat Samsung inzwischen beseitigt.
Samsungs E-Mail-Client wiederum erlaubt es beliebigen Apps, E-Mails an andere Konten weiterzuleiten und damit auf die Inhalte der Nachrichten zuzugreifen. Der Angriff ist allerdings leicht aufzudecken, da die Nachrichten im Ordner „Gesendete Objekte“ abgelegt werden. Zudem kann die E-Mail-App dazu gebracht werden, in Nachrichten eingebetteten JavaScript-Code auszuführen. Dieser Fehler sei vor allem in Kombination mit Sicherheitslücken in anderen Android-Komponenten wie WebView gefährlich, so Google weiter.
Des Weiteren fanden die Forscher drei Fehler in Samsung-Treibern. Den Speicherfehler CVE-2015-7891 stufen sie als besonders kritisch ein, da er die Ausführung von Schadcode im Kernel ermöglicht. Eine nicht autorisierte Rechteausweitung lässt sich wiederum mithilfe von fünf Speicherfehlern erreichen, die bei der Verarbeitung von Fotos auftreten. Zwei davon (CVE-2015-7895 und CVE-2015-7898) treten auf, wenn die Samsung Gallery geöffnet wird.
Sicherheit und Datenschutz sind zwei wesentliche Kriterien bei der Auswahl eines virtuellen Servers. Mit zwei nach ISO 27001 zertifizierten Hochleistungsrechenzentren in Deutschland bietet STRATO nicht nur strenge Sicherheitsmaßnahmen, sondern auch Datenschutz nach deutschem Recht. Zudem beinhalten die V-Server zahlreiche Komfortfeatures.
„Die Schwachstellen sind Gerätetreiber und Verarbeitung von Medien“, schreibt Silvanovich. „Wir haben die Probleme in diesen Bereichen sehr schnell durch Fuzzing und Code-Prüfungen gefunden. Überraschenderweise haben wir auch drei leicht auszunutzende Logik-Probleme entdeckt.“ SELinux erschwere zwar Angriffe auf die Schwachstellen, es seien aber auch drei Bugs gefunden worden, die die Deaktivierung von SELinux erlaubten. „Es ist also keine effektive Maßnahme gegen jeden Fehler.“
Samsung hat Google zufolge 8 der 11 Lücken mit dem Oktober-Update geschlossen. Die restlichen 3 Löcher sollen mit dem November-Update gestopft werden. Google weist darauf hin, dass einige der Bugs möglicherweise auch andere Samsung-Geräte betreffen.
„Die meisten Android-Geräte werde nicht von Google angeboten, sondern von externen Firmen, die als Original Equipment Manufacturers (OEMs) bekannt sind. Sie nutzen das Android Open Source Project (AOSP) als Basis für die von ihnen hergestellten Android-Geräte“, führt Silvanovich im Blog des Project Zero aus. „OEMs sind ein wichtiger Bereich der Android-Sicherheitsforschung, da sie auf allen Ebenen zusätzlichen und möglicherweise anfälligen Code zu Android-Geräten hinzufügen und über die Häufigkeit der Sicherheitsupdates für ihre Geräte selber entscheiden.“
Tipp: Sind Sie ein Android-Kenner? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de
Unternehmen greifen von überall aus auf die Cloud und Applikationen zu. Dementsprechend reicht das Burg-Prinzip…
Hacker nutzen eine jetzt gepatchte Schwachstelle im Google-Browser bereits aktiv aus. Die neue Chrome-Version stopft…
Microsoft bietet seit Anfang der Woche einen Patch für die Lücke. Kaspersky-Forscher gehen davon aus,…
Das jüngste Update bringt insgesamt zwölf Fixes. Schadcode lässt sich unter Umständen ohne Interaktion mit…
Eine softwarebasierte Workstation soll es Ingenieuren erlauben, sämtliche Steuerungen zentral zu verwalten. Pilotkunde ist Ford.
Kryptodiebstahl und finanzieller Gewinn sind laut ESET-Forschungsbericht die vorrangigen neuen Ziele.
