Ein „sehr großer Prozentsatz“ der Pixel-Telefone weist eine versteckte Sicherheitslücke auf
Eine App für Ladenmitarbeiter, mit der sie Geräte präsentieren können, verfügte über Berechtigungen, die sie nicht benötigte. Ein Fix ist bereits in Arbeit.
Falls Sie ein Pixel-Telefon haben, gibt es eine kürzlich entdeckte Sicherheitslücke, über die Sie Bescheid wissen sollten.
Das Sicherheitsunternehmen iVerify hat kürzlich einen Blogbeitrag veröffentlicht, in dem es über seinen Bericht berichtet. Darin wird dargelegt, dass „ein sehr großer Prozentsatz“ der seit 2017 ausgelieferten Pixel-Telefone eine App enthält, die eine Sicherheitslücke aufweist. Dadurch sind die Geräte „anfällig für Man-in-the-Middle-Angriffe (MITM)“, wodurch Cyberkriminellen die Möglichkeit gegeben wird, schädlichen Code sowie gefährliche Spionage-Software einzuschleusen.
Die betreffende Sicherheitslücke befindet sich in „showcase.apk“ - einem Softwarepaket, das ein Telefon in ein Demo-Gerät verwandelt, mit dem Mitarbeiter in Verizon-Filialen den potenziellen Kunden die Funktionen der Pixel-Telefone vorstellen können. Obwohl die Software ausschließlich für Verizon-Mitarbeiter gedacht war, war sie in den letzten 7 Jahren auf fast allen Pixel-Telefonen installiert.
Das Problem ist, dass die Anwendung auf Systemebene läuft und über umfangreiche Systemrechte verfügt - sogar die ferngesteuerte Installation von Software sowie die Ausführung von Code sind möglich (etwas, was iVerify zufolge für den vorgesehenen Zweck gar nicht erforderlich ist).
Die App erhält ihre Konfiguration von einem einzigen, unsicheren Amazon Web Services-Domain, was bedeutet, dass theoretisch jemand Malware oder Spyware über diese Domain auf ein Telefon bringen könnte.
Da es sich um vorinstallierte Pixel-Firmware handelt, können Nutzer sie nicht über Standardverfahren entfernen. Die App ist standardmäßig nicht aktiviert. Laut iVerify gibt es womöglich mehrere Möglichkeiten, sie zu aktivieren; bei den Tests musste sie jedoch manuell aktiviert werden.
Google betont, dass es keinen Grund zur Sorge gibt. In einem Gespräch mit der Washington Post sagte ein Unternehmensvertreter, dass Verizon-Mitarbeiter die App nicht mehr nutzen und dass sie auch nicht auf der neuen Pixel 9-Serie vorhanden sei. Zudem erklärte er, dass Google keinerlei Beweise dafür habe, dass jemand diese Sicherheitslücke ausgenutzt habe.
Dennoch sagt Google, dass es die Software aus Vorsichtsgründen durch ein kommendes Software-Update von Pixel-Geräten entfernen wird.
Obwohl es keine Beweise dafür gibt, dass diese spezifische Sicherheitslücke ausgenutzt wurde, sagt iVerify, dass das Problem schwerwiegend genug ist, sodass Palantir Technologies - das Unternehmen, das die Sicherheitslücke ursprünglich entdeckt hat - in den kommenden Jahren seine Android-Geräte aus dem Bestand entfernen und vollständig auf Apple-Geräte umsteigen wird.