Werde Teil der Community - Registriere dich jetzt kostenlos! | Login
 
 
Autor: Björn Brodersen 27.09.2012 - 17:54 | (7)

USSD-Sicherheitslücke: Android-Hersteller bleiben Antworten schuldig

Die Sicherheitslücke auf bestimmten Android-Smartphones verunsichert die Nutzer. Welche Smartphones sind betroffen? Und wie kann man das betroffene Android-Gerät dagegen absichern? Die Hersteller der entsprechenden Smartphones lassen die Nutzer bislang im Regen stehen.

USSD-Sicherheitslücke: Android-Hersteller bleiben Antworten schuldig

Android Hack | (c) Areamobile

Wie berichtet hat der Berliner Sicherheitsexperte Ravi Borgaonkar vor kurzem eine schwerwiegende Sicherheitslücke auf den beiden Samsung-Smartphones Galaxy S3 und Galaxy S2 vorgeführt, die das Zurücksetzen des Geräts aus der Ferne erlaubt. Über NFC-Tags, QR-Codes oder WAP-Push-SMS können Angreifer auf die betroffenen Android-Geräte einen Link auf eine Website mit einem präparierten Frame übertragen, in den der entsprechende USSD-Code *2767*3855# eingebettet ist, der auch ohne Zutun des Nutzers das Android-Smartphone auf die Werkeinstellungen zurücksetzt. Dabei werden alle Nutzerdaten gelöscht. Normalerweise lösen USSD-Codes auf dem Smartphones erst dann eine Aktion aus, wenn nach Eingabe der Ziffern- und Zeichenfolge die grüne Telefontaste gedrückt wird. Einige Smartphones führen einen solchen Code jedoch auch ohne Bestätigungseingabe des Nutzers aus, wenn im Android-Standard-Browser eine solch manipulierte Website geöffnet wird. Möglich macht dies die Verknüpfung des Browsers mit der Telefon-Anwendung auf dem Smartphone.

Zwar ist außer der Demo auf einer Hacker-Konferenz in Buenos Aires noch kein Fall bekannt geworden, in dem diese Schwachstelle im Android-System ausgenutzt wird, doch das Risiko verunsichert Nutzer von Android-Geräten. Ist auch ihr Gerät von der Sicherheitslücke betroffen? Borgaonkar hat betont, dass die Schwachstelle nicht nur Samsung-Geräte mit Touchwiz-Benutzeroberfläche betrifft, sondern auch Smartphones und Tablets mit Android von anderen Herstellern. Seiner Ansicht nach werden zurzeit in Foren und Artikeln viele falsche Informationen über die von ihm entdeckte Sicherheitslücke gestreut.

Android Hack | (c) Areamobile

Ohne Sicherheitslücke: Samsung Galaxy Note 10.1 | (c) Areamobile

Welche Smartphones sind von dem Sicherheitsrisiko betroffen?

In Internet-Foren, Sozialnetzwerken und Blogs gibt es allerdings inzwischen auch haufenweise Hinweise von Nutzern, die ihre Android-Geräte auf das Sicherheitsrisiko überprüft haben. Das kann durch Ansurfen der Website unter http://www.isk.kth.se/~rbbo/testussd.html gemacht werden - wird dann auf dem Display "IMEI" angezeigt, soll das Smartphone gefährdet sein, denn es führt ohne Bestätigung des Nutzers USSD-Codes im Hintergrund aus. Auch Heise bietet unter http://www.heise.de/security/dienste/USSD-Check-1717811.html einen solchen Sicherheitscheck an. Das Blog Androidpit hat beispielsweise eine Liste an betroffenen Android-Smartphones zusammengestellt:

  • Samsung Galaxy S3 mit Android 4.0.4 (Custom ROM CM9)
  • Samsung Galaxy S2
  • Samsung Galaxy Ace
  • Samsung Galaxy Beam
  • Samsung Galaxy S Advance
  • Samsung Galaxy Note mit Android 4.0.3
  • Samung Galaxy Tab GT-P1000
  • HTC One S
  • HTC One X
  • HTC Sensation mit Android 4.0.3
  • HTC Sensation XE mit Android 4.0.3
  • HTC Desire HD
  • HTC Legend
  • HTC Desire Z
  • HTC Incredible S
  • Motorola Milestone
  • Motorola Razr mit Android 2.3.6
  • Huawei Ideos X5
  • LG P990 Optimus Speed
  • Sony Ericsson Xperia Play mit Android 2.3.4
  • Sony Ericsson Xperia Neo mit Android 4.0.4
  • Sony Ericsson Xperia Arc S mit Android 2.3.4

Auch das HTC One XL und die Tablet-Modelle der Galaxy-Tab-Serie von Samsung sollen von der Sicherheitslücke betroffen sein - das Google Nexus 7 dagegen nicht. Auch die auf dem jeweiligen Gerät installierte Android-Version lässt nicht immer fest darauf schließen, ob ein Android-Gerät gefährdet ist oder nicht. Offenbar besteht in Android 4.1 Jelly Bean diese Sicherheitslücke nicht, Geräte mit Android 4.0.4 Ice Cream Sandwich gelten aber mal als gefährdet und mal als nicht gefährdet. Samsung will mittlerweile die Sicherheitslücke auch auf dem Galaxy S3 mit Android 4.0.4 gepatcht sowie mit dem seit heute ausgerollten Update auf Android 4.0.4 auf dem Galaxy S2 geschlossen haben.

Hersteller von Android-Geräten schweigen

Areamobile hat nach dem Bekanntwerden der Sicherheitslücke die Hersteller um Aufklärung gebeten, doch Antworten von Samsung, HTC und Huawei stehen bislang aus. Samsung erklärte lediglich, dass die Schwachstelle auf dem Galaxy S3 mittlerweile gepatcht sei, gibt aber nicht die jeweilige Firmware-Versionsnummer an, an der Nutzer dies zweifelsfrei überprüfen können. Laut Huawei ist zumindest das Ascend P1 nicht von dem Problem betroffen. Wir haben den Sicherheits-Test an weiteren Android-Smartphones durchgeführt, darunter auch am Sony Xperia S, dem HTC One V und dem LG Optimus L7. Die Ergebnisse findet ihr in der folgenden Bildergalerie:

Noch gibt es von den Herstellern der betreffenden Android-Smartphones auch keine Auskünfte darüber, wann welche betroffenen Geräte gepatcht werden. Diese blieben sie bislang auch auf unsere Nachfrage schuldig. Bis es die entsprechenden Bugfixes gibt, können Nutzer betroffener Geräte aus dem Google Play Store die App NoTelURL herunterladen, die den Zugriff von USSD-Steuercodes ohne Freigabe des Nutzers blockiert - allerdings auch dann, wenn der Nutzer einen USSD-Code bewusst einsetzen möchte.

Senden
Artikel bewerten
Kommentar schreiben

Die Kommentarfunktion ist hier leider nur für angemeldete Benutzer freigegeben.

Du bist nicht dabei?
Werde Teil der Community
Registriere Dich jetzt kostenlos! | Login
Sichere Dir Deinen Usernamen, damit Deine Beiträge und Bewertungen nicht verloren gehen.
 
Lesen Sie alle 7 Kommentare in unser Community.
Kommentare
  1. 28.09.12 17:17 and234 (Newcomer)

    Habe gerade das One X mit Venom Rom getestet und es hat nicht funktioniert. Für mich heißt das: Standard Android = Bug

  2. 28.09.12 14:08 JakeTeaBarnes
    Auch das Huawei Honour 8860 ist betroffen

    Gestern getestet; IMEI wird angezeigt. notelurl installiert.

  3. 27.09.12 21:21 IMPULS

    ....atmet auf...no IMEI....:-)

  4. 27.09.12 18:50 numb (Member)

    Zur Sicherheit kann man folgende App installieren:

    https://play.google.com/store/apps/details?id=com.voss.notelurl

    Die App registriert sich bei Android für das USSD Protokoll womit manipulierte Links nicht zu automatischen Code Eingaben führen können.

  5. 27.09.12 18:38 pmu (Member)

    und Samsung hat für das S3 bereits das Update via OTA bereitgstellt

  6. 27.09.12 18:08 the_black_dragon (Advanced Handy Master)
    DIe liste ist schonmal inkorrekt...

    Da ALLE Sony Modelle von 2011 mit identischer Firmware laufen und lediglich die Kernel sich minimal unterscheiden, können wir das Neo mit 4.0.4 schonmal sicher ausschließen... denn das Arc mit 4.0.4 hat diese Lücke auch nicht... und wenn das Arc S und das Play mit 2.3.4 davon betroffen sind, müssten es auch alle anderen vom letzten jahr sein...

    mal davon abgesehen gab es mehrere Firmware Builds (aber alle identisch zwischen den Geräten) mit Android 2.3.4 (glaube 3 oder 4 versiuonen waren es im laufe der zeit) und deswegen müsste die auch mal mit angegeben werden...

antworten
 
Aktuelle Geräte im Test