Android Serialization Sicherheitslücke – Apps geben sich selbst Rechte

Android ist derzeit ein sehr gebeuteltes System, was Sicherheitslücken betrifft! Das große Problem, welches Android bzw. auch Google dabei hat ist, dass es keine Zentrale Stelle gibt über welche die Android Software gepflegt wird und so können Sicherheits-Updates unter Umständen richtig lange in der Schublade liegen, bis diese durch den Hersteller des Gerätes ausgeliefert wird. Falls diese überhaupt gepatched wird, wenn es sich dabei um Billig-Smartphones aus Fernost handel. Jeder darf hier seine Software so pflegen, wie er es möchte und der User ist den Herstellern völlig ausgeliefert, da er keinen anderen Weg für das Update einschlagen kann.

Würde man sich solch eine Vorgehensweise bei Microsoft vorstellen, wäre der Aufschrei wohl riesig! Doch bei Googles Android Betriebssystem nimmt man es irgendwie einfach hin und das obwohl viele wohl derzeit intensiver ihr Smartphone nutzen, als den heimischen PC! Beim Kauf eines Android Smartphones sollte man sich derzeit wohl gut überlegen, auf welchen Hersteller man setzt, denn nur wenn dieser auf Zack ist, kann man davon ausgehen, dass das eigene Gerät zumindest etwas sicher ist. Oder man wechselt direkt gleich in das Lager von Microsoft oder Apple, denn da bekommt man alle Updates aus einer Hand und diese werden dafür sorgen, dass die Systeme möglichst schnell gepatched werden. Denn dies ist momentan scheinbar wirklich ein massives Problem von Android / Google! Die verteilten Systeme bekommen eine gewisse Eigendynamik und das wird nicht mehr so schnell zu beheben zu sein. Tja …und auf wen fällt es zurück? Natürlich auf die „Macher“ von Android – also auch Google. Ich bin gespannt, wie der Ruf des Betriebssystems in naher Zukunft darunter leiden wird, bzw. wie man versuchen wird, die derzeitige Situation wieder unter Kontrolle zu bekommen.

Aber zurück zum Thema – die aktuelle Sicherheitslücke manipuliert Apps und ermöglicht es Apps im Hintergrund mehr Rechte zu verschaffen, als die – welche man bei der Installation erlaubt hat. Es gibt für diese Lücke schon fertige Bastelsets (SDK Componenten) über die man sich die entsprechende App „zusammenklicken“ kann.

Ist die neue App dann erschaffen, muss diese nur noch beim User ausgeführt werden und schon ist diese in der Lage andere Apps zu ersetzen, aber die gleichen Rechte zu behalten! Ein kleines Beispiel seht ihr im Video. Hier wird die verseuchte App gestartet und dadurch die Facebook App einfach ausgetauscht. Nach außen sieht es aber so aus, als würde es die normale Facebook App sein. Diese kann dann auch ganz normal funktionieren, liefert aber die Daten bei Hacker ab!

Nette Sache. In wie weit diese Sicherheitslücke schon genutzt wird, ist noch unklar! Betroffen sind alle Android Geräte ab 4.3 bis zu aktuellen Android M Beta Version. Das dürften so etwas über 50 Prozent der derzeit betriebenen Android Smartphones sein.  Die Lücke (CVE-2015-3825) wurde von IBM Sicherheitsforschern aufgedeckt.

Google hat schon reagiert und die entsprechenden Patches zur Verfügung gestellt. Wann diese jedoch beim Enduser ankommen werden, liegt am Hersteller der Smartphones selbst.