[TinyTimm]

Sie ermöglichen das Einschleusen und Ausführen von Schadcode und den Diebstahl persönlicher Daten. Unter anderem sind der E-Mail-Client und die Fotogalerie-App von Samsung davon betroffen.

Die Anfälligkeiten, die Forscher von Googles Project Zero jetzt gefunden haben, stecken nicht direkt in Android, sondern in von Samsung hinzugefügter Software. Sie hatten die Sicherheit von Software, die OEMS ab Werk zu Android hinzufügen, am Beispiel des Samsung Galaxy S6 Edge untersucht und entdeckten innerhalb einer Woche 11 Sicherheitslücken. Demnach erlaubt Samsungs Code den Zugriff auf persönliche Informationen und das Einschleusen und Ausführen von Schadcode. 8 der 11 Schwachstellen hat Samsung inzwischen beseitigt.

Eine der Anfälligkeiten CVE-2015-7888 steckt in dem Dienst namens „WifiHs20UtilityService“, der nach einem ZIP-Archiv im Download-Ordner sucht und die Datei entpackt. Dabei werde aber nicht der Dateipfad geprüft, was das Schreiben von Dateien an beliebigen Orten erlaube, erläutert Natalie Silvanovich vom Google Project Zero in einem Blogeintrag. Der Fehler lasse sich mit bekannten Exploits für Directory Traversal Bugs sehr leicht ausnutzen.

Samsungs E-Mail-Client wiederum erlaubt es beliebigen Apps, E-Mails an andere Konten weiterzuleiten und damit auf die Inhalte der Nachrichten zuzugreifen. Der Angriff ist allerdings leicht aufzudecken, da die Nachrichten im Ordner „Gesendete Objekte“ abgelegt werden. Zudem kann die E-Mail-App dazu gebracht werden, in Nachrichten eingebetteten JavaS*****-Code auszuführen. Dieser Fehler sei vor allem in Kombination mit Sicherheitslücken in anderen Android-Komponenten wie WebView gefährlich, so Google weiter.

Die Forscher fanden desweiteren drei Fehler in Samsung-Treibern. Den Speicherfehler CVE-2015-7891 stufen sie als besonders kritisch ein, da er die Ausführung von Schadcode im Kernel ermöglicht. Eine nicht autorisierte Rechteausweitung lässt sich wiederum mithilfe von fünf Speicherfehlern erreichen, die bei der Verarbeitung von Fotos auftreten. Zwei davon (CVE-2015-7895 und CVE-2015-789 treten auf, wenn die Samsung Gallery geöffnet wird.

„Die Schwachstellen sind Gerätetreiber und Verarbeitung von Medien“, schreibt Silvanovich. „Wir haben die Probleme in diesen Bereichen sehr schnell durch Fuzzing und Code-Prüfungen gefunden. Überraschenderweise haben wir auch drei leicht auszunutzende Logik-Probleme entdeckt.“ SELinux erschwere zwar Angriffe auf die Schwachstellen, es seien aber auch drei Bugs gefunden worden, die die Deaktivierung von SELinux erlaubten. „Es ist also keine effektive Maßnahme gegen jeden Fehler.“

Google zufolge hat Samsung 8 der 11 Lücken mit dem Oktober-Update geschlossen. Die restlichen 3 Löcher sollen mit dem November-Update gestopft werden. Google weist darauf hin, dass einige der Bugs möglicherweise auch andere Samsung-Geräte betreffen.

„Die meisten Android-Geräte werde nicht von Google angeboten, sondern von externen Firmen, die als Original Equipment Manufacturers (OEMs) bekannt sind. Sie nutzen das Android Open Source Project (AOSP) als Basis für die von ihnen hergestellten Android-Geräte“, führt Silvanovich im Blog des Project Zero aus. „OEMs sind ein wichtiger Bereich der Android-Sicherheitsforschung, da sie auf allen Ebenen zusätzlichen und möglicherweise anfälligen Code zu Android-Geräten hinzufügen und über die Häufigkeit der Sicherheitsupdates für ihre Geräte selber entscheiden.“

Quelle: [ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]

[Prince]

[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]