Forscher von Googles Project Zero haben am Beispiel des Samsung Galaxy S6 Edge die Sicherheit von Software untersucht, die OEMs ab Werk zu Android hinzufügen. Innerhalb einer Woche fanden sie 11 Anfälligkeiten. Samsungs Code erlaubt demnach den Zugriff auf persönliche Informationen und das Einschleusen und Ausführen von Schadcode. 8 der 11 Schwachstellen hat Samsung inzwischen beseitigt.
Samsungs E-Mail-Client wiederum erlaubt es beliebigen Apps, E-Mails an andere Konten weiterzuleiten und damit auf die Inhalte der Nachrichten zuzugreifen. Der Angriff ist allerdings leicht aufzudecken, da die Nachrichten im Ordner „Gesendete Objekte“ abgelegt werden. Zudem kann die E-Mail-App dazu gebracht werden, in Nachrichten eingebetteten JavaScript-Code auszuführen. Dieser Fehler sei vor allem in Kombination mit Sicherheitslücken in anderen Android-Komponenten wie WebView gefährlich, so Google weiter.
Des Weiteren fanden die Forscher drei Fehler in Samsung-Treibern. Den Speicherfehler CVE-2015-7891 stufen sie als besonders kritisch ein, da er die Ausführung von Schadcode im Kernel ermöglicht. Eine nicht autorisierte Rechteausweitung lässt sich wiederum mithilfe von fünf Speicherfehlern erreichen, die bei der Verarbeitung von Fotos auftreten. Zwei davon (CVE-2015-7895 und CVE-2015-7898) treten auf, wenn die Samsung Gallery geöffnet wird.
Sicherheit und Datenschutz sind zwei wesentliche Kriterien bei der Auswahl eines virtuellen Servers. Mit zwei nach ISO 27001 zertifizierten Hochleistungsrechenzentren in Deutschland bietet STRATO nicht nur strenge Sicherheitsmaßnahmen, sondern auch Datenschutz nach deutschem Recht. Zudem beinhalten die V-Server zahlreiche Komfortfeatures.
„Die Schwachstellen sind Gerätetreiber und Verarbeitung von Medien“, schreibt Silvanovich. „Wir haben die Probleme in diesen Bereichen sehr schnell durch Fuzzing und Code-Prüfungen gefunden. Überraschenderweise haben wir auch drei leicht auszunutzende Logik-Probleme entdeckt.“ SELinux erschwere zwar Angriffe auf die Schwachstellen, es seien aber auch drei Bugs gefunden worden, die die Deaktivierung von SELinux erlaubten. „Es ist also keine effektive Maßnahme gegen jeden Fehler.“
Samsung hat Google zufolge 8 der 11 Lücken mit dem Oktober-Update geschlossen. Die restlichen 3 Löcher sollen mit dem November-Update gestopft werden. Google weist darauf hin, dass einige der Bugs möglicherweise auch andere Samsung-Geräte betreffen.
„Die meisten Android-Geräte werde nicht von Google angeboten, sondern von externen Firmen, die als Original Equipment Manufacturers (OEMs) bekannt sind. Sie nutzen das Android Open Source Project (AOSP) als Basis für die von ihnen hergestellten Android-Geräte“, führt Silvanovich im Blog des Project Zero aus. „OEMs sind ein wichtiger Bereich der Android-Sicherheitsforschung, da sie auf allen Ebenen zusätzlichen und möglicherweise anfälligen Code zu Android-Geräten hinzufügen und über die Häufigkeit der Sicherheitsupdates für ihre Geräte selber entscheiden.“
Tipp: Sind Sie ein Android-Kenner? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de
Die Einnahmen klettern auf fast 95 Milliarden Dollar. Allerdings belastet der Steuerstreit mit der EU…
Das stärkste Wachstum verbucht die Cloud-Sparte. Microsoft verpasst bei der Umsatzprognose für das laufende Quartal…
Ein Coil-on-Module-Package integriert Chip und Antenne, was den Kartenkörper fast vollständig recycelbar machen soll.
Mindestens eine Anfälligkeit erlaubt das Einschleusen von Schadcode. Außerdem erweitern die Entwickler den Support für…
Zum 30. Juni 2028 soll das 2G-Netz komplett abgeschaltet werden und den Weg für schnellere…
Gewinn und Umsatz legen deutlich zu. Zum Wachstum tragen auch die Sparten Cloud und Abonnements…
