Check Point meldet Sicherheitslücke in nahezu allen Android-Geräten

Android bietet keine Möglichkeit, um die Zertifikate für erweiterte Rechte von Apps zu deaktivieren. Dies führt den beiden Check-Point-Experten Ohad Bobrov und Avi Bashan unausweichlich dazu, dass Millionen von Geräten mit Googles Betriebssystem angreifbar sind. Ihre Erkenntnisse haben sie jetzt auf der Black-Hat-Konferenz in Las Vegas präsentiert (PDF). Die beiden Sicherheitsforscher sehen derzeit weder die Möglichkeit, den Fehler zu beheben, noch gebe es eine Workaround.

Das von seinen Entdeckern Certifi-gate genannte Problem ermöglicht es Angreifern, sich unbemerkt uneingeschränkten Zugriff auf ein Android-Gerät zu verschaffen, indem sie – oft bereits vorinstallierte Anwendungen für die Fernwartung missbrauchen, die in der Regel über solche Rechte verfügen. Ausdrücklich erwähnen Bobrov und Bashan TeamViewer, Rsupport und CommuniTake Remote Care. Sie erlauben den Forschern zufolge die Ausweitung der Nutzerrechte und dadurch den Zugriff auf Funktionen, die normalerweise nur dem Besitzer zur Verfügung stehen. Als Beispiele nennen sie die Installation von Apps, die Anzeige des Standorts sowie die Aufnahme von Gesprächen über das Mikrofon.

Alle Anbieter wurden von Check Point informiert und arbeiten an einem Update. Ein Fix durch einen Patch ist laut Check Point aber nicht möglich, es müsse ein komplettes Update der Software ausgeliefert werden. Dies ist aus bekannten Gründen – insbesondere der großen Fragmentierung bei Android – aber nicht nur schwierig, sondern dauert auch lange.

Mit den nun von Google und Samsung für ihre Geräte angekündigten regelmäßigen Patch-Zyklen könnte dieses Problem zumindest eingedämmt werden. Dies Ankündigung wurde allgemein mit der Entdeckung der Stagefright-Lücke in Zusammenhang gebracht. Da beide aber von Check Point schon vorab informiert wurden, dürfte auch Certifi-gate seinen Teil dazu beigetragen haben.

Für Android-Nutzer hat Check Point bei Google Play mit dem Certifi-gate Scanner eine kostenlose App zur Verfügung gestellt, mit der sie überprüfen können, ob ihr Mobilgerät von Certifi-gate betroffen ist. Eine vergleichbare App bietet seit gestern die Firma Lookout an, damit Nutzer die Anfälligkeit ihres Mobilgeräts für Stagefright überprüfen können.