Ein Sicherheitsforscher hat eine Lücke in Googles Admin-App veröffentlicht. Wie Vahagn Vardanyan von MWR Labs am Freitag auf Full Disclosure mitteilte, können andere Apps dadurch die Beschränkungen der Android-Sandbox umgehen und über symbolische Verknüpfungen auf beliebige Dateien zugreifen.
Dazu müssen Angreifer die App mit einem Link im Format file:// aufrufen und den String calledsetup_url mit einer URL versehen, auf die ihre App zugriffsberechtigt ist. So können sie eine Webadresse mit den Zugriffsrechten von Google Admin in WebView öffnen und per iFrame beliebige Dateien ausführen. Damit sind alle Daten von Google Admin in ihrer Reichweite.
Google Admin dient der Verwaltung von „Google for Work„-Konten (früher Google Enterprise), wendet sich also an Administratoren in Firmen, Bildungseinrichtungen und Behörden. Von hier aus lassen sich Nutzerkonten etwa anlegen oder löschen, Berichte einsehen oder Gruppen verwalten. Es handelt sich folglich um eine sicherheitsrelevante Anwendung für hochrangiges IT-Personal in großen Einrichtungen.
Vardanyan hatte Google erstmals am 17. März über die Lücke informiert. Am Folgetag erhielt er eine Eingangsbestätigung. Weiter passierte nichts, bis MWR Labs im Juni nachhakte. Google räumte ein, das selbstgesteckte Zeitlimit überschritten zu haben, und bat um noch etwas Zeit vor der Publikation. Die Sicherheitsfirma kündigte daraufhin erst im Juli eine Veröffentlichung an, die sie am 13. August vollzog.
Zu diesem Zeitpunkt war die App nicht aktualisiert worden. Inzwischen ist aber ein Update vom 14. August verfügbar, das das Problem möglicherweise beseitigt: In Google Play sind nur „Bug fixes“ vermerkt. Bis zur endgültigen Klärung sollten auf Geräten mit der App Google Admin nur absolut vertrauenswürdige Apps installiert werden.
Googles eigene Sicherheitsinitiative Project Zero ist bekannt dafür, Sicherheitslücken in fremden Produkten ohne Kompromiss 90 Tage nach Benachrichtigung des Anbieters zu veröffentlichen. Darüber hatte es schon einmal einen Streit mit Microsoft gegeben. Project Zero legt aber auch häufig Schwächen in Systemen von Adobe und Apple offen, die mit diesem Rhythmus weniger Probleme zu haben scheinen.
[mit Material von Charlie Osborne, ZDNet.com]
Tipp: Wie gut kennen Sie Google? Testen Sie Ihr Wissen – mit dem Quiz auf silicon.de.
Android-Smartphones werden immer häufiger auch in Unternehmen genutzt. Das ist auch einer der Gründe, warum Samsung seine Geräte besonders absichern will. Mit der Zusatzumgebung „Knox“ lassen sich Container im Betriebssystem des Smartphones erstellen und die private Daten von geschäftlichen trennen.
Der Cybersecurity Report von Hornetsecurity stuft 2,3 Prozent der Inhalte gar als bösartig ein. Die…
Die Hintermänner haben es auf Zugangsdaten zu Microsoft Azure abgesehen. Die Kampagne ist bis mindestens…
Cloud-Plattform für elektronische Beschaffungsprozesse mit automatisierter Abwicklung elektronischer Rechnungen.
Mindestens eine Schwachstelle erlaubt eine Remotecodeausführung. Dem Entdecker zahlt Google eine besonders hohe Belohnung von…
Nur rund die Hälfte schaltet während der Feiertage komplett vom Job ab. Die anderen sind…
Security-Experten von Check Point sind einer neuen Angriffsart auf die Spur gekommen, die E-Mail-Schutzmaßnahmen umgehen…
