Im Android-Betriebssystem haben chinesische Blogger eine Sicherheitslücke entdeckt, die eine ähnliche Wirkung haben soll wie die Schwachstelle, die vor zwei Wochen von der Firma Bluebox veröffentlicht wurde. Androids App-Signaturprüfung lässt sich austricksen, hatte das Unternehmen gezeigt. Apps, welche bereits installiert sind, können so manipuliert werden, dass Angreifer die Kontrolle über das Gerät erhalten – je nachdem, wie viele Rechte die manipulierte App inne hat.

Auch kann man Androids-Signaturprüfung durch die neue Sicherheitslücke überwinden. Über die Manipulation des Headers der APK-Datei funktioniert dies. Nachträglich kann man so der App Code hinzufügen, ohne dabei die Signatur ungültig zu machen.

Mit dem CyanogenMod-Update auf die Version 10.1.2 sollen beide Sicherheitslücken behoben worden sein. Auch Google ist laut der australischen Website CIO schon tätig geworden und hat zumindest einen Patch für die Bluebox-Lücke entwickelt. Bisher soll der aber nur für das Samsung S4 ausgeliefert worden sein.

Zunächst hatte Bluebox die Lücke nur oberflächlich beschrieben und wollte die Schwachstelle bei der BlackHat-Konferenz ausführlich vorstellen. Allerdings ist dem Unternehmen ein Entwickler zuvorgekommen: Er veröffentlichte auf Grundlage des von Google entwickelten Patches einen beispielhaften Exploit.

(ts, hannover)

(siehe auch Heise News-Ticker :)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE