Android ist während des Updates potentiell angreifbar

Jedes technische System muss irgendwann mal aktualisiert werden was die Software betrifft, auch wenn so mancher Nutzer eines günstigeren Android-Gerätes genau das nur zu gerne sehen würde bei seinem Smartphone oder Tablet. Dabei wäre ein Update gegen eine dringende Sicherheitslücke von größter Wichtigkeit: Dem Update-Vorgang selbst.

Sicherheitslücken gibt es in jeder Software, egal ob Industrie-Anlage, Desktop-Rechner oder Mobilgerät. Anfällig ist jedes System irgendwie und diese Lücken ausfindig zu machen und zu stopfen, haben sich etliche Sicherheitsforscher zur Aufgabe gemacht. Schließlich lässt sich damit gutes Gel verdienen wie die „Bug-Kopfgelder“ der großen Konzerne regelmäßig zeigen. Insbesondere der Pwn2Own-Wettbewerb ist eine populäre Plattform für solche Hacks, die letzten Endes die Sicherheit der jeweiligen Produkte verbessern. Nun hat Microsoft zusammen mit Forschern der Indiana University Bloomington einen solchen Bug bzw. Sicherheitslücke gefunden und das ausgerechnet in der konkurrierenden Plattform Android.

Android und gefährliche Updates

Die von den Entdeckern Pileup (Privilege Escalation through updating) getaufte Lücke betrifft alle Android-Versionen, da sie während des Update-Prozesses auftritt. Während eines Firmware-Updates kopiert und verschiebt das System zum Teil etliche Tausend Dateien im Speicher und passt deren Zugriffsrechte während diesen Vorgangs an. Genau an dieser Stelle kann eine entsprechend programmierte App unbemerkt von Nutzer ihre Berechtigungen selbstständig anpassen. Eine kleine Einschränkung hat die Sache dann doch: Es können nur die mit einer neuen Android-Version neu eingeführten Berechtigungen selbstständig vergeben werden, keine bereits existierenden.

Damit ist der potentielle Schaden zwar ein wenig eingegrenzt aber das dürfte kaum ein Trost sein. Es soll sogar schon die ersten Apps geben die sich diese Lücke in Android zu Nutze machen, die sich jedoch ausfindig machen lassen. Die Forscher von Microsoft und der Universität haben mit dem Secure Update Scanner eine entsprechende App im Google Play Store veröffentlicht, mit deren Hilfe sich diese Android-Apps aufspüren lassen auf den eigenen Geräten.

Google will übrigens die Lücke in Android zumindest zum teil schon geschlossen haben. Trotzdem kann ein Überprüfen der installierten Apps nicht wirklich schaden.

[Quelle: TechStage]