Zero-Day-Lücke in Chrome für Android erlaubt Installation schädlicher Apps

Der chinesische Forscher Guang Gong, Mitarbeiter des Sicherheitsanbieters Quihoo 360, hat auf der Sicherheitskonferenz PacSec in Tokio eine Zero-Day-Lücke in Chrome für Android präsentiert. Sie betrifft ihm zufolge alle Android-Versionen, auf denen die jüngste Chrome-Version ausgeführt wird. Die Schwachstelle lässt sich mithilfe speziell präparierter Websites ausnutzen und erlaubt die Installation von Malware, wie The Register berichtet.

Die Anfälligkeit demonstrierte Gong demnach auf einem neuen Google Nexus 6. Es handele sich um einen einzelnen Exploit und nicht, wie sonst oft üblich, um eine Verkettung mehrerer Schwachstellen. „Viele Leute müssen heute mehrere Anfälligkeiten ausnutzen, um einen privilegierten Zugang zu erhalten und Software ohne Interaktion zu laden“, zitiert The Register Dragos Ruiu, den Organisator des Hackerwettbewerbs Pwn2Own Mobile, in dessen Rahmen Gong die Lücke vorstellte.

„Sobald das Telefon auf die Website zugriff, wurde die Java-Script-V8-Anfälligkeit in Chrome benutzt, um eine beliebige App (in dem Fall ein Spiel) ohne jegliche Interaktion mit dem Nutzer zu installieren, was die vollständige Kontrolle über das Telefon demonstriert“, so Ruiu weiter. Da das Leck in der JavaScript-Engine stecke, sei wahrscheinlich jedes Android-Gerät angreifbar.

Dem Bericht zufolge wurde der Bug noch vor Ort von einem anwesenden Google-Sicherheitsingenieur geprüft. Ruiu sagte, wahrscheinlich werde Google eine Prämie an Gong bezahlen, da er die Details zu der Schwachstelle zurückgehalten habe.

ANZEIGE

MobileIron: Sichere Verwaltung von Android-Geräten

In vielen Unternehmen nutzen Mitarbeiter ihre privaten mobilen Geräte. Unternehmen, die dieser Szenario erlauben, sollten sich Gedanken über eine leistungsfähige Enterprise Mobility Management Suite machen. Nur damit lassen sich Unternehmensdaten gegen nicht autorisierten Zugriff absichern.

Zwei deutsche Sicherheitsforscher zeigten während des Wettbewerbs, dass bestimmte Samsung-Smartphones mithilfe einer speziell präparierten Basisstation abgehört werden können. Die Lücke steckt offenbar in der Firmware des von Samsung entwickelten Baseband-Chips. Sie erhielten, genauso wie Gong, eine Einladung zur Sicherheitskonferenz CanSecWest, die im März in Kanada stattfindet.

In den vergangenen Jahren wurde der Wettbewerb von der ehemaligen HP-Tochter Tipping Point sowie deren Zero Day Initiative gesponsert. Aufgrund des Wassenaar-Abkommens, dass Details zu Schwachstellen als genehmigungspflichtige Exportgüter einstuft, hat HP sein Engagement jedoch eingestellt. Abzuwarten bleibt, ob Trend Micro, dass Tipping Point und die Zero Day Initiative kürzlich für 300 Millionen Dollar gekauft hat, diese Entscheidung wieder zurücknimmt.

Tipp: Sind Sie ein Android-Kenner? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

SmokeBuster bekämpft SmokeLoader

Malware SmokeLoader wird weiterhin von Bedrohungsakteuren genutzt, um Payloads über neue C2-Infrastrukturen zu verbreiten.

59 Minuten ago

Taugen Kryptowährungen als Unterstützer der Energiewende?

Bankhaus Metzler und Telekom-Tochter MMS testen, inwieweit Bitcoin-Miner das deutsche Stromnetz stabilisieren könnten.

17 Stunden ago

Supercomputer-Ranking: El Capitan überholt Frontier und Aurora

Mit 1,7 Exaflops ist El Capitan nun der dritte Exascale-Supercomputer weltweit. Deutschland stellt erneut den…

21 Stunden ago

Ionos führt neue AMD-Prozessoren ein

Der deutsche Hyperscaler erweitert sein Server-Portfolio um vier Angebote mit den neuen AMD EPYC 4004…

22 Stunden ago

Lags beim Online-Gaming? DSL-Vergleich und andere Tipps schaffen Abhilfe

Beim Online-Gaming kommt es nicht nur auf das eigene Können an. Auch die technischen Voraussetzungen…

22 Stunden ago

GenKI-Fortbildung immer noch Mangelware

Fast jedes zweite Unternehmen bietet keinerlei Schulungen an. In den übrigen Betrieben profitieren oft nur…

22 Stunden ago