Forscher meldet Sicherheitslücke in der App Google Admin

Ein Sicherheitsforscher hat eine Lücke in Googles Admin-App veröffentlicht. Wie Vahagn Vardanyan von MWR Labs am Freitag auf Full Disclosure mitteilte, können andere Apps dadurch die Beschränkungen der Android-Sandbox umgehen und über symbolische Verknüpfungen auf beliebige Dateien zugreifen.

Konsole von Google Admin (Bild: Google)

Dazu müssen Angreifer die App mit einem Link im Format file:// aufrufen und den String calledsetup_url mit einer URL versehen, auf die ihre App zugriffsberechtigt ist. So können sie eine Webadresse mit den Zugriffsrechten von Google Admin in WebView öffnen und per iFrame beliebige Dateien ausführen. Damit sind alle Daten von Google Admin in ihrer Reichweite.

Google Admin dient der Verwaltung von „Google for Work„-Konten (früher Google Enterprise), wendet sich also an Administratoren in Firmen, Bildungseinrichtungen und Behörden. Von hier aus lassen sich Nutzerkonten etwa anlegen oder löschen, Berichte einsehen oder Gruppen verwalten. Es handelt sich folglich um eine sicherheitsrelevante Anwendung für hochrangiges IT-Personal in großen Einrichtungen.

Vardanyan hatte Google erstmals am 17. März über die Lücke informiert. Am Folgetag erhielt er eine Eingangsbestätigung. Weiter passierte nichts, bis MWR Labs im Juni nachhakte. Google räumte ein, das selbstgesteckte Zeitlimit überschritten zu haben, und bat um noch etwas Zeit vor der Publikation. Die Sicherheitsfirma kündigte daraufhin erst im Juli eine Veröffentlichung an, die sie am 13. August vollzog.

Zu diesem Zeitpunkt war die App nicht aktualisiert worden. Inzwischen ist aber ein Update vom 14. August verfügbar, das das Problem möglicherweise beseitigt: In Google Play sind nur „Bug fixes“ vermerkt. Bis zur endgültigen Klärung sollten auf Geräten mit der App Google Admin nur absolut vertrauenswürdige Apps installiert werden.

Googles eigene Sicherheitsinitiative Project Zero ist bekannt dafür, Sicherheitslücken in fremden Produkten ohne Kompromiss 90 Tage nach Benachrichtigung des Anbieters zu veröffentlichen. Darüber hatte es schon einmal einen Streit mit Microsoft gegeben. Project Zero legt aber auch häufig Schwächen in Systemen von Adobe und Apple offen, die mit diesem Rhythmus weniger Probleme zu haben scheinen.

[mit Material von Charlie Osborne, ZDNet.com]

Tipp: Wie gut kennen Sie Google? Testen Sie Ihr Wissen – mit dem Quiz auf silicon.de.