Categories: MobileMobile Apps

Signal stopft schwerwiegende Sicherheitslücke

Signal hat ein Sicherheitsupdate für seine gleichnamige Messenger-App veröffentlicht. Es beseitigt eine schwerwiegende Schwachstelle, die es erlaubt, Dritte ohne deren Zustimmung abzuhören. Betroffen ist allerdings nur Signal für Android und nicht die iOS-Version der Anwendung.

Der Fehler führte dazu, dass ein Anruf auf einem entfernten Gerät automatisch angenommen wurde, ohne dass eine Interaktion mit dem Angerufenen stattfand. Auslöser war ein Logikfehler in der Funktion, die der App des Anrufers signalisiert, dass der Anruf angenommen wurde.

„Mit einem modifizierten Client ist es möglich, die Nachricht ‚connect‘ an ein angerufenes Gerät zu senden, wenn ein eingehender Anruf läuft, aber vom Benutzer noch nicht angenommen wurde. Dadurch wird der Anruf angenommen, obwohl der Benutzer nicht mit dem Gerät interagiert hat“, schreibt Natalie Silvanovich von Googles Project Zero, die den Bug entdeckt hat, in ihrem Fehlerbericht.

Allerdings lassen sich auf diese Weise nur die Audiogeräusche in der Umgebung eines Smartphones abhören. Eine Videoübertragung kann nicht initialisiert werden, weil dies bei Signal grundsätzlich nur manuell aktiviert werden kann.

„Der iOS-Client hat ein ähnliches Logikproblem“ ergänzte Silvanovich. Auf iPhones werde der Verbindungsaufbau jedoch aufgrund eines Fehlers in der Bedienoberfläche nicht abgeschlossen.

Silvanovich weist zudem darauf hin, dass die Anrufsignalisierung auf dem Empfängergerät kein Problem darstellt. Es sei möglich, das Signal für die unerlaubte automatische Anrufannahme sehr schnell zu senden, sodass „es nicht lange klingeln muss“, teilte sie per Twitter mit.

Unentdeckt bleibt ein solcher Anruf laut Signal jedoch nicht. Gegenüber ZDNet USA betonte ein Unternehmenssprecher, dass erkennen können, dass ein Signal-Telefon aktiv ist. Zudem erscheine der Anruf nach Abschluss auch in der Konversationsliste.

Signal stopfte das Sicherheitsloch nach eigenen Angaben an dem Tag, an dem es den Hinweis auf die Lücke von Silvanovich erhielt. Nutzer der App sollten sicherstellen, dass sie die Version 4.47.7 oder neuer verwenden, die den benötigten Fix enthält.

Ein ähnliches Abhörproblem hatte Anfang des Jahres auch Apples Facetime-App. Hier war es möglich, schon während des Rufaufbaus das Mikrofon des Angerufenen einzuschalten. Als Behelfslösung schaltete Apple die anfällige Gruppenchat-Funktion vorübergehend ab. Ein Patch stand rund eine Woche später zur Verfügung.

WEBINAR

BlackBerry CylancePERSONA – Flexible Sicherheitsrichtlinien für mobiles Arbeiten

Erfahren Sie in diesem Webinar, wie Sie die Vorteile von BlackBerry Intelligent Security in Ihrem Unternehmen voll ausschöpfen. Dazu zählen etwa eine höhere Endgerätesicherheit, ein verbesserter Bedienkomfort sowie eine erhöhte Produktivität bei reduzierten Kosten.

Stefan Beiersmann @beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Sinequa-Marktbefragung in UK, Frankreich und Deutschland: In punkto DSGVO-Reife hält sich jeder für den Spitzenreiter

Zwei Jahre nach Inkrafttreten der EU-weiten DSGVO-Datenschutzbestimmungen hat der Anbieter kognitiver Such- und Analysesoftware eine Umfrage in drei europäischen Ländern…

21 Stunden ago

Ausprobiert: Rock Space WLAN Repeater AC1200

Der Rock Space WLAN Repeater AC1200 funkt mit 5 und 2,4 GHz. Die maximale Übertragungsrate beträgt 867 MBit/s. Bei 2,4…

2 Tagen ago

BSI veröffentlicht Sicherheitsanforderungen für Smartphones

Mit dem Forderungskatalog will das BSI einen öffentlichen Diskurs über Sicherheit von Smartphones starten. Die Anforderungen sollen zukünftig in Richtlinien…

2 Tagen ago

Update für Chrome schließt Zero-Day-Lücke

Mit Version 80.0.3987.122 schließt Google in Chrome drei Sicherheitslücken. Mit CVE-2020-6418 findet sich darunter auch eine Zero-Day-Lücke die aktiv ausgenutzt…

2 Tagen ago

Firefox: Mozilla aktiviert DNS-über-HTTPS für US-Nutzer

Durch die Verschlüsselung von DNS-Abfragen schützen sich Anwender vor dem Ausspionieren des Surfverhaltens. Anders als beim Google-Browser Chrome können Firefox-Nutzer…

2 Tagen ago

Opera R2020 mit verbessertem Tab-Management

Opera 67.0 alias R2020 soll mit seinem verbessertem Tab-Management für Ordnung beim Surfen sorgen. Tabs lassen sich in insgesamt fünf…

2 Tagen ago