Die Krux mit Android: Sicherheitslücken am laufenden Band

Android hat Erfolg (mehr als 1 Milliarde Android-Geräte gibt es)! Android Geräte sind erschwinglich (ab 35 Euro aufwärts)! Und Android-Geräte fallen ständig durch neue Sicherheitslücken auf. Updates? Bei vielen Herstellern Fehlanzeige. Ein Paradies für Malware und deren Entwickler. Und selbst die Android-Updates werden möglicherweise zum Problem.

Was war das schön, als Du noch einfach zum Telefonhörer greifen und schlicht telefonieren konntest. Das Schlimmste, was dir passieren konnte: Die Leitung war tot – und bei Gewitter sollte man nicht telefonieren. Heute hast Du ein Smartphone, möglicherweise mit Android – und musst dir ständig Gedanken um Sicherheitslücken, Malware, betrügerische SMS und In-App-Kauf-Missbräuche machen.

Pileup-Flaws, die neue Bedrohung für Android

Jetzt gibt es eine neue Bedrohung durch Pileup-Schwachstellen. Das Kürzel Pileup steht für 'Privilege Escalation through Updateing' – ein Sicherheitsproblem, welches es Malware-verseuchten Apps ermöglicht, die Privilegien bei einem Android-Update zu erhöhen, ohne dass der Benutzer informiert wird. Beschrieben werden diese Pileup-Flaws in einem Forschungsbericht, der gemeinsam von Forschern der Indiana University und Microsoft (ich weiß, trotzdem nicht unbedingt schlecht) veröffentlicht wurde. In diesem Bericht wird eine neue Klasse von Android-Angriffsszenarien über Pileup Flaws durch Betriebssystem-Updates beschrieben. Zitat der Forscher:

"Every few months, an update is released, which causes replacement and addition of tens of thousands of files on a live system. Each of the new apps being installed needs to be carefully configured to set its attributes within its own sandboxes and its privileges in the system, without accidentally damaging existing apps and the user data they keep," the researchers wrote. "This complicates the program logic for installing such mobile updates, making it susceptible to security-critical flaws."

"Through the app running on a lower version of Android, the adversary can strategically claim a set of carefully selected privileges or attributes only available on the higher OS version," the researchers wrote.

Problem ist also: Bei Updates werden oft tausende an Dateien ersetzt und Apps müssen gemäß ihren Sicherheitseinstufungen mit Privilegien versorgt werden – ohne dass sich da ggf. Beeinflussungen durch andere Apps ergeben. Und das ist ein Quell für Fehler. Die Forscher geben an, dass das auch dem Umstand geschuldet ist, dass die Apps nach dem Android-Update nicht erneut beim Benutzer nachfragen, ob bestimmte Zugriffsrechte zugeteilt werden dürfen. Stattdessen erfolgt dies durch einen Hintergrundprozess ohne Benutzerinteraktion. Das ist auch verständlich, denn der Durchschnittsbenutzer ist nicht in der Lage, nach einem Android-Update für 100 Apps die Sicherheitsprivilegien festzulegen. Und Android-Apps fordern in letzter Zeit während der Installation eh den Zugriff auf alles vom Benutzer an.

Laut dem Bericht geben die Forscher an, insgesamt sechs unterschiedliche Pileup-Sicherheitslücken im Android Package Management Service (PMS) gefunden zu haben. Übrigens alle Sicherheitslücken beziehen Sie auf die Android Open Source Project-Versionen – und es gibt mehr als 3.500 angepasste (customized) Versionen von Android, die durch Smartphone-Hersteller (OEMs) und Mobilfunkanbieter erstellt wurden. Unterm Strich sind, laut Ansicht der Forscher, da draußen mehr als eine Milliarde Android-Geräte, die über diese Pileup-Sicherheitslücken angreifbar seien.

Es sei daher nur eine Frage der Zeit, bis so etwas ausgenutzt würde, meinen die Forscher. Daher haben Sie einen Scanner mit dem Namen SecUP entwickelt. Dieser kann gefährliche Apps, die auf Angriffsmöglichkeiten über Erhöhung der Privilegien warten, identifizieren. Der Scanner prüft den Quellcode des PMS (von verschiedenen Android-Versionen), um Verletzungen bei den Sicherheitseinstellungen zu ermitteln. Google ist über die Sicherheitslücken informiert und hat bereits eine per Update gefixt. Gestern hatte ich noch den Artikel Sicherheit: Die Apps sind mittlerweile das Problem! veröffentlicht. Heute bin dann auf diesen ZDNet-Artikel gestoßen, der das Problem für Android aus einer anderen Perspektive adressiert.