MasterKey / Sicherheitslücke bug 10148349 bis Android 4.3 schließen?

[EinNeuling]

Hallo zusammen,

da dies beim anderen Thema nicht passt, poste ich meine Frage hier:

Wie genau kann man die Sicherheitslücke "bug 10148349" schließen? Ich habe es mit Bluebox Security Scanner gefunden (z.B. bei Android 2.3.6, 4.2.2 und Cyanogenmod 10.2)...
Es ist wahrscheinlich bei allen Android-Versionen bis 4.3 vorhanden.

Es sei ein MasterKey:

Damit können schadhafte Anwendungen, andere Anwendungen so modifizieren, dass das System danach immer noch denkt, sie wären Original und dein System kompromittieren.

Schließen sollte man es durch

Xposed mit Gravity Plugin

Wie geht das?

Xposed ist wahrscheinlich das Xposed Framework oder?

Was ist ein "Gravity Plugin" - ein Modul für Xposed? Wo finde ich es?
Ist es die App "SP Gravity Plugin" oder was anderes?
Falls ja, wie soll das gehen?

Oder kennt ihr andere Apps, die die Sicherheitslücke schließen?

Danke für eure Rückmeldungen!

 

[Otandis_Isunos]

Xposed ist das Xposed Framework, ja Gravity findest du dann dort drin bei den Modulen. Musst aber aufpassen welche Version du nimmst.

Ob das auch bei CM funktioniert, kann ich nicht verifizieren, da mir dazu das Gerät UND die entsprechende Firmware fehlt

Also wie immer: nandroid machen und ausprobieren. Wenns schief geht, wieder zurückspielen.

Und: Falsches Forum Mal verschieben.

 

[mrrbr]

Ich habe mich jetzt durch die Xposed Repo und die Liste bei xda gekämpft. Es gibt lediglich das: [FIX][XPOSED][4.0+] Universal fix for the several "Master Key" vulnerabilities - xda-developers Ein Modul "Gravity" finde ich nirgendwo. Nur "GravityBox", welches aber nichts fixen kann! Abgesehen davon unterstützt "GravityBox" kein CM.
Für den neuen Bug ist da noch nichts drin.

 

[EinNeuling]

Danke euch beiden!

Heißt das, dass man erstmals nichts machen kann?

Was sollte man in so einem Fall tun? Ist man einigermaßen sicher, wenn man ein Antivirusprogramm (z.B. Avast) und Malwarebytes hat?

 

[Otandis_Isunos]

Huich.

Ich muss in der Tat entschuldigen: Ich meine tatsächlich GravityBox, kürze es aber seit geraumer Zeit ab Verzeihung bitte. Ist mir beim schreiben garnicht aufgefallen

 

[mrrbr]

Als Erstes die brain.apk nutzen und nicht wirklich jeden Mist auf dem Gerät installieren. Zum Sinn oder Unsinn eines Virenscanner u.ä.: https://www.android-hilfe.de/forum/...iren-programm-fuer-android-noetig.164612.html

Ich nutze z.B. keines solcher sog. "Sicherheitsprogramme". Fakt ist nun mal, daß ohne mein Zutun schon mal gar keine App installiert werden kann. Außerdem habe ich mein Telefon immer am Mann und lasse es nirgendwo rumliegen. Jetzt wird es für potentielle Datendiebe schon sehr eng mir was einzuschleusen. Außerdem pfeiffe ich auf tolle PopUps, die behaupten mein Gerät wäre infiziert und ich müsste dazu etwas runterladen um es wieder sauber zu bekommen. Weiterhin installiere ich nur Apps aus dem PlayStore (auch wenn sie etwas kosten!), denn wenn man sich aus irgendwelchen dubisen Quellen Bezahlapps zieht, habe ich auch kein Mitleid mit denen, die dann zur Datenschleuder werden.

 

[SavanTorian]

Gravity Box ist änlich Wanam Exposed oder toolbox und hat mit Bug - oder Securityholefix nix zu tun.
Danke für "mrrbr"

 

[Klaus N.]

Brrrrrrr - keinesfalls GravityBox mit CM nutzen!

Selbst der Dev von GravityBox schreibt hierzu:
"Sollte nicht mit CustomROM's wie CM, AOSP, RootBox oder SlimBean verwendet werden - es macht keinen Sinn, da die meisten Features dort bereits enthalten sind, und es zu Konflikten und unerwartetem Verhalten des Gerätes führen kann."

e/ Was jedoch richtig ist: Im Xposed Framework werden immer wieder mal Fixes für Sicherheitslücken als Module angeboten

 

[SavanTorian]

Auf RePo von Xposed kann man in der Suche Vulnerability eingeben und stösst so auch auf Masterkey-Fix-Module

 

[Otandis_Isunos]

Jein, man sollte nicht, heisst nicht, man darf nicht. Es kommt wohl eher auf die Rom drauf an.

Hier heisst es dann tatsächlich ausprobieren. Mit Backup natürlich

CM selbst fixt nicht alles, warum sollten sie auch Ich hab nur GravityBox erwähnt, weil es mir direkt in den Sinn gekommen ist als erstes UND weil dadurch die anderen Module obsolete werden Natürlich gibt es auch die entsprechenden Securityfixes als Module.

 

[Cua]

Der Link zum "nur" MasterKeyFix-Modul:
[FIX][XPOSED][4.0+] Universal fix for the several "Master Key" vulnerabilities - xda-developers

 

[mrrbr]

Ich frage mich jetzt, für was ich schon alle Links weiter oben gepostet habe...... Dann können ja meine Beiträge gelöscht werden.

 

[Otandis_Isunos]

Falls es jmd überlesen hat

 

[EinNeuling]

Der Link zum "nur" MasterKeyFix-Modul:
[FIX][XPOSED][4.0+] Universal fix for the several "Master Key" vulnerabilities - xda-developers

Hier geht es nicht um bug 10148349, sondern um andere. Oder habe ich etwas übersehen?

 

[Aaskereija]

So mancher irrtum hier...

Gravitybox funktioniert mit cm, nutze es selbst sogar mit Xblast und ich hab nur Vorteile, eine z.b. Ein cm von fxp ist nicht wie von munjeni oder cm selbst. Mag sein das s auf manchen Probleme gibt, allerdings konnte ich das auf meinem gerät nie feststellen.

Zum anderen denke ich wäre die Lösung eher der master key dual fix den man sich im xposed direkt runterladen kann, wobei dieser einfach nur dafür sorgt das man zwei identische signaturen installieren kann, diese Phänomen lässt sich aber z.b. Nur reproduzieren wenn mann mit einem root Explorer eine installierte apk einer app "killt" (löscht), dadurch glaubt das handy es ist noch installiert und wenn man die app neu installiert kommt der Fehler:" app mit Signatur bereits vorhanden "

Diesen "bug" behebt der masterkey dualfix