Android: Pileup-Sicherheitslücken erlauben Apps unautorisierte Ausweitung von Berechtigungen

Die Anfälligkeit steckt im Update-Prozess des Android-Betriebssystems. Wird das Android-OS auf eine neue Version aktualisiert, können sich bereits installierte und entsprechend programmierte Apps beispielsweise die Berechtigungen für den Zugriff auf Sprachnachrichten, die Benutzerdaten, Anruflisten oder SMS sichern, ohne dass der Anwender davon etwas mitbekommt.

In Googles Android wurde eine Schwachstelle entdeckt, die einer schädlichen App eine unautorisierte Ausweitung von Berechtigungen erlaubt, sobald das OS aktualisiert wird. Die neue Klasse von Sicherheitslücken wurde auf den Namen “Pileup” getauft – was für “Privilege Escalation through updating” steht – und ist einem Whitepaper (PDF) zufolge in allen Android-Versionen vorhanden. Das haben Forscher der Indiana University in Kooperation mit Microsoft aufgedeckt.

Android: Pileup-Sicherheitslücke erlaubt Apps unautorisierte Ausweitung von Berechtigungen

Die Anfälligkeit steckt im Update-Prozess des Android-Betriebssystems. Wird das Android-OS auf eine neue Version aktualisiert, können sich bereits installierte und entsprechend programmierte Apps beispielsweise die Berechtigungen für den Zugriff auf Sprachnachrichten, die Benutzerdaten, Anruflisten oder SMS sichern, ohne dass der Anwender davon etwas mitbekommt.

Die Anfälligkeit steckt im Update-Prozess des Betriebssystems. Hacker können sich laut den Sicherheitsexperten durch eine Anwendung, die auf dem Smartphone oder Tablet unter einer älteren Android-Version installiert ist, neu hinzukommende Rechte oder Attribute verschaffen, die dann unter der höheren Android-Version zur Verfügung stehen. Wird das OS nun auf diese höhere Version aktualisiert, erhält die Applikation die mit dem Update neu eingeführten Berechtigungen automatisch im Hintergrund, ohne dass der Anwender davon etwas mitbekommt.

Auf diese Weise können Angreifer sich beispielsweise die Berechtigungen für den Zugriff auf Sprachnachrichten, die Benutzerdaten, Anruflisten oder SMS sichern. Auf der Webseite Secure Android Update demonstrieren die Forscher, wie sie mithilfe von eigens entwickelten Apps, die diese Sicherheitslücken ausnutzen, Sprachnachrichten entwenden, nach Bankdaten phishen oder den Google-Account hacken. Laut den Forschern konnten die schädlichen Anwendungen ohne Probleme im Google Play Store oder Amazon App Store eingereicht werden.

“Alle paar Monate wird ein Update ausgeliefert, das zahlreiche Dateien eines laufenden Systems austauscht oder hinzufügt”, schreiben die Forscher. “Jede neue Anwendung, die installiert wird, muss genau konfiguriert werden, um ihre Attribute in der eigenen Sandbox und ihre Systemrechte festzulegen, ohne dass versehentlich vorhandene Apps und die von ihnen gespeicherten Nutzerdaten beschädigt werden. Das macht die Programmlogik für die Installation solcher mobiler Updates kompliziert – und damit anfällig für Sicherheitsfehler.”

Die Forscher haben nach eigenen Angaben sechs verschiedene Pileup-Anfälligkeiten gefunden, die alle im Android Package Management Service (PMS) stecken. Sie seien in allen Versionen des Android Open Source Project (AOSP) enthalten sowie in mehr als 3500 von Handyherstellern und Mobilfunkanbietern speziell angepassten Android-Versionen.

Um den Nutzer zu schützen, haben die Forscher einen SecUP genannten Scanner vorgestellt, der schädliche Apps finden soll, die sich bereits auf einem Gerät befinden und auf ein Update warten, um ihre Rechte auszuweiten. Der Scanner prüfe den Quellcode des Package Management System von unterschiedlichen Android-Versionen, um mögliche Verletzungen von Sicherheitsbeschränkungen aufzudecken. Die App steht in Googles Play Store zum Download bereit.

Laut den Forschern wurden die Fehler bereits an Google gemeldet. Eine der Lücken hat das Unternehmen schon gepatcht.

[Mit Material von Stefan Beiersmann, ZDNet.de]

Autor: Christian Schartel
Christian Schartel Christian Schartel Christian Schartel

Neueste Kommentare 

Eine Kommentar zu Android: Pileup-Sicherheitslücken erlauben Apps unautorisierte Ausweitung von Berechtigungen

  • Am 16. Mai 2016 um 20:25 von kazi asad shamol

    Excellent

Schreib einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *