Kritische Sicherheitslücken könnten bei Mobilgeräten von LG dafür genutzt werden, sie zu kompromittieren, die Android-Geräte zu übernehmen und Daten zu stehlen. Das haben Sicherheitsforscher von Check Point auf der Konferenz LayerOne 2016 in Los Angeles enthüllt. Die beiden Schwachstellen sind nur bei LG-Geräten vorhanden und erlauben es, „Berechtigungen auf LG-Geräten zu erhöhen, um sie aus der Ferne anzugreifen“.
„Durch die Verbindung mit diesem Dienst könnte ein Angreifer atd adressieren, einen hoch privilegierten User-Mode-Daemon und ein Eingangstor für Kommunikation mit der Firmware“, erläuterte der Sicherheitsforscher. Eine Ausnutzung könnte zu ausgeweiteten Berechtigungen und einer Übernahme des Geräts führen. Ermöglicht würden so erneutes Booten, das Kappen von USB-Verbindungen, Datenlöschung und die Identifizierung von Kennungen wie der MAC-Adresse des Geräts. Letztlich sei sogar möglich, das Gerät vollständig funktionsunfähig zu machen.
CVE-2016-2035 als zweite Sicherheitslücke ist in LGs Ausführung des WAP-Push-Protokolls begründet. Dieses Protokoll dient zum Senden von URLs mit Textnachrichten an mobile Geräte. Durch die LG-Implementation schlich sich jedoch eine SQL-Lücke ein. Ein Angreifer könnte daher eine SMS schicken und in der Folge auf dem Gerät gespeicherte Nachrichten betrachten, verändern oder löschen. Nach Kompromittierung des Geräts auf diese Weise wären außerdem Phishing-Angriffe auf weitere lukrative Ziele möglich.
Die Sicherheitsfirma Check Point hat LG vor der öffentlichen Enthüllung vertraulich über die Schwachstellen informiert. Patches sind inzwischen verfügbar, um ihre Ausnutzung zu verhindern.
[mit Material von Charlie Osborne, ZDNet.com]
Tipp: Sind Sie ein Android-Kenner? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de
Von ihr geht ein hohes Risiko aus. Angreifbar sind Chrome für Windows, macOS und Linux.
Forschende des KIT haben ein Modell zur Emotionsanalyse entwickelt, das affektive Zustände ähnlich genau wie…
Sie decken die Identität des Kopfs der Gruppe auf. Britische Behörden fahnden mit einem Foto…
Er treibt das neue iPad Pro mit OLED-Display an. Apple verspricht eine deutliche Leistungssteigerung gegenüber…
Davon entfällt ein Viertel auf staatliche Einrichtungen und 12 Prozent auf Industrieunternehmen.
Forscher umgehen die Verschlüsselung und erhalten Zugriff auf VPN-Datenverkehr im Klartext. Für ihren Angriff benötigen…
