Der schwerwiegende Sicherheitsfehler bei Pixel, über den letzten Monat berichtet wurde, wurde mittlerweile behoben.
Das neue Update von Google entfernt eine Software, die ausschließlich für Mitarbeiter von Handygeschäften gedacht war und von böswilligen Akteuren ausgenutzt werden könnte.
Letzten Monat entdeckten Forscher eine Sicherheitslücke, die „einen sehr großen Prozentsatz“ der Pixel-Telefone betraf. Das neue Update von Google, das heute ausgerollt wird, behebt diese Schwachstelle.
Vor einigen Wochen veröffentlichte das Online-Sicherheitsunternehmen iVerify einen Blogbeitrag, in dem detailliert beschrieben wurde, wie die überwiegende Mehrheit der seit 2017 verkauften Pixel-Telefone eine Software namens showcase.apk enthielt. Diese Software war nicht für Endverbraucher gedacht, sondern sollte von Mitarbeitern der Verizon-Läden genutzt werden, um die Funktionen der Pixel-Telefone vorzuführen.
Das Problem war, dass showcase.apk über sehr hohe Systemrechte verfügt und sogar Code ausführen sowie Software aus der Ferne installieren kann. Theoretisch könnte jemand mit böswilligen Absichten auf den Amazon Web Services-Dienst zugreifen, der die Software antreibt, und Schadsoftware bzw. Spyware auf das Handy einer ahnungslosen Person installieren.
Da die App vorinstalliert war, konnten die Nutzer sie nicht manuell deinstallieren.
Das heutige Sicherheits-Update von Google entfernt showcase.apk vollständig. Im Blogbeitrag wird die Software nicht namentlich erwähnt; lediglich steht dort, dass es „eine Korrektur gibt, um eine Drittanbieter-APK zur Behebung einer Sicherheitslücke zu entfernen“.
Als iVerify die Sicherheitslücke entdeckte, erklärte Google, es gäbe keine Anzeichen dafür, dass jemand sie ausgenutzt habe. Das Problem war jedoch so schwerwiegend, dass Palantir Technologies, das Unternehmen, das bei der Identifizierung des Sicherheitsproblems geholfen hatte, die Verwendung von Android-Geräten verbot.
Ein wichtiger Hinweis ist, dass iVerify feststellte, dass showcase.apk standardmäßig nicht aktiviert war. „Es könnten mehrere Methoden geben, um es zu aktivieren“, erklärte der Bericht, „doch das iVerify-Forschungsteam untersuchte eine Methode, die physischen Zugriff erfordert.“
Es scheint wahrscheinlich, dass es für jemanden ohnehin ziemlich schwierig gewesen wäre, diesen Fehler auszunutzen - aber Google entfernt ihn dennoch.
Das Update gilt für das Pixel 6, Pixel 6 Pro, Pixel 6a, Pixel 7, Pixel 7 Pro, Pixel 7a, Pixel 8, Pixel 8 Pro, Pixel 8a, Pixel Fold und Pixel Tablet. Die App war nicht vorinstalliert auf der Pixel 9-Serie.