In einer so großen und weit verbreiteten Plattform wie Android wird es immer Sicherheitslücken geben – mal kritische und mal weniger schwere. Jetzt ist eine neue Sicherheitslücke in einigen Kamera-Apps entdeckt worden, die sich irgendwo dazwischen ansiedelt. Die Lücke ermöglicht es, dass ein Angreifer ohne Wissen des Nutzers Fotos und Videos aufnimmt und die Bilder sowie zusätzliche Metadaten an sich selbst sendet. Google und Samsung haben die Lücke mittlerweile gestopft.
Google rollt jeden Monat ein aktuelles Sicherheitsupdate für Android aus, das die wichtigsten Lücken im Betriebssystem schließt und dafür sorgt, dass die Besitzer eines gepatchten Smartphones einigermaßen sorgenfrei sein können. Aber auch im Play Store wird man aktiv und möchte schadhafte Apps schon von Beginn an verhindern und gar nicht erst auf die Smartphones der Nutzer gelangen lassen. Dazu wurde erst vor wenigen Tagen die Spezialeinheit App Defense Alliance gegründet.
Apps haben unter Android sehr viele Möglichkeiten, sodass es potenziell sehr viele Angriffsszenarien geben kann – allerdings muss in den meisten Fällen auch das Opfer seinen Teil dazu beitragen und den unbekannten Apps umfangreiche Berechtigungen erteilen. Das ist zwar hart, aber wenn man Warnmeldungen des Betriebssystems ignoriert, dann ist man auch irgendwie selbst schuld. Jetzt gibt es ein neues Szenario, das fast ganz ohne Berechtigungen auskommen konnte.
In dem theoretischen Angriffs-Szenario war es möglich, dass eine App unbemerkt Fotos und Videos aufnehmen und diese auf einen externen Server laden kann. Zusätzlich lässt sich aus den Fotos auch der Standort des Nutzers auslesen, was die ganze Sache nicht nur zu einem tiefen Eingriff in die Privatsphäre werden lässt, sondern auch gefährlich sein kann. Auch der Zugriff auf den Näherungssensor soll möglich sein und die App auch dann aktiv werden können, wenn das Display ausgeschaltet ist.
All das wäre möglich, ohne dass die App überhaupt den Zugriff auf die Kamera erfragen müsste. Dazu musste aber keine Sicherheitslücke im Betriebssystem verwendet werden, sondern es wird einfach nur die vom Nutzer verwendete Kamera-App entführt und Zweckentfremdet, die natürlich über die notwendigen Berechtigungen verfügt.
Möglich war das Ganze dadurch, dass die App des Angreifers im Hintergrund die Möglichkeit hätte, die Kamera-Apps zu steuern. Dazu ist lediglich die Berechtigung für den Zugriff auf das Dateisystem notwendig, was von sehr vielen Apps abgefragt wird und vermutlich auch von sehr vielen Nutzern abgenickt wird. Die Kamera-Apps nehmen dann die Bilder auf und die App des Angreifers fängt diese Daten wieder ab. Durch die EXIF-Daten im Bild lässt sich dann auch gleich noch der aktuelle Standort des Nutzers abfragen.
Das gesamte Szenario ist nur theoretischer Natur, aber die Sicherheitsforscher, die diese Lücke entdeckt haben, haben eine funktionierende Demo gezeigt. Die Meldung der Lücke liegt bereits einige Monate zurück, wurde aber erst jetzt nach Ablauf einer Frist veröffentlicht.
We appreciate Checkmarx bringing this to our attention and working with Google and Android partners to coordinate disclosure. The issue was addressed on impacted Google devices via a Play Store update to the Google Camera Application in July 2019. A patch has also been made available to all partners.
Die Kamera-Apps von Google und Samsung wurden bereits im Juli 2019 und sind somit nicht mehr anfällig. Laut Google gibt es aber noch Kamera-Apps von weiteren Herstellern, die nach wie vor anfällig sind. Leider hat man nicht verraten, um welche es sich dabei handelt.
Siehe auch
» Wo ist mein Smartphone? Googles ‚Meine Geräte‘-Seite bekommt ein neues Design und zeigt noch mehr Geräte