Es ist mal wieder eine neue Sicherheitslücke (CVE-2018-9489) in Android gefunden worden, die Apps das Umgehen der Berechtigungsprüfung (permission checks) ermöglicht, um auf Wi-Fi-Broadcast-Daten zuzugreifen.
Anzeige
Die Information zur Schwachstelle CVE-2018-9489 wurde vor vier Tagen von Nightwatch Cyber Security im Blog-Beitrag Sensitive Data Exposure via WiFi Broadcasts in Android OS [CVE-2018-9489] veröffentlicht.
System Broadcasts liefert Informationen
Das Problem: Die System Broadcasts von Android stellen allen Anwendungen, die auf dem Gerät ausgeführt werden, Informationen über das Gerät des Benutzers zur Verfügung. Zu diesen Informationen gehören der WiFi-Netzwerkname, die BSSID, lokale IP-Adressen, DNS-Serverinformationen und die MAC-Adresse.
Einige dieser Informationen (MAC-Adresse) sind (aus Sicherheitsgründen) nicht mehr über APIs auf Android 6 und höher verfügbar, und für den Zugriff auf den Rest dieser Informationen sind normalerweise zusätzliche Berechtigungen erforderlich. Durch das Abhören der System Broadcasts kann jedoch jede Anwendung auf dem Gerät genau diese per API nicht mehr erhältlichen Informationen erfassen und so alle Berechtigungsprüfungen umgehen.
Nutzertracking und mehr möglich
Da sich die MAC-Adressen nicht ändern und an die Hardware gebunden sind, kann dies laut Nightwatch Cyber Security verwendet werden, um jedes Android-Gerät eindeutig zu identifizieren und zu verfolgen. Das gilt selbst dann, wenn die MAC-Adress-Randomisierung verwendet wird.
Der Netzwerkname und die BSSID können verwendet werden, um Benutzer über einen Lookup gegen eine Datenbank von BSSID wie WiGLE oder SkyHook zu lokalisieren. Andere Netzwerkinformationen können von schädlichen Apps verwendet werden, um das lokale WiFi-Netzwerk weiter zu erforschen und anzugreifen.
Alle Android-Versionen kleiner 9.0.0 betroffen
Nightwatch Cyber Security glaubt, dass alle Versionen von Android betroffen sind (auch Forks von Android wie Amazons FireOS für den Kindle). Google hat diese Schwachstelle in Android 9 (Pie) 9 behoben, plant aber keinen Fix für ältere Android-Versionen. Ein Update auf Androie Pie dürfte für die meisten Benutzer von Android aber verwehrt bleiben. Aktuell ist aber nicht bekannt, dass die Schwachstelle ausgenutzt wird. (via, via)
2015
