Achtung: Sicherheitslücke beim USSD-Code ermöglicht Komplettlöschung aus der Ferne

  • 495 Antworten
  • Letztes Antwortdatum
Einge werden es gestern mitbekommen haben. Da war es nur Samsung Galaxy S2/s3 und wie man dann heute merkte sind noch deutlich mehr vom USSD Exploit betroffen. U.a. Sensation Geraete.

Wer testen will ob es mit seiner Softwareversion auch zu Problemen kommen kann, der testet das zB auf Samsung: Update schließt Sicherheitslücke und wie man testet, ob man betroffen ist

Nur mal so als Hinweis. Jetzt kann HTC mal zeigen wie schnell sie sind. Samsung hat heute bereits einen Patch unters Volk gebracht (nicht fuer Branding Geraete).
 
Es sind alle TW Roms betroffen - bin echt mal gespannt ob Samsung da aktiv wird (was sie sollten mMn.)
 
  • Danke
Reaktionen: duan2012
Hi !

Jüngst ist ja bekannt geworden,
daß SAMSUNG- Smartphones von der
Ferne aus via USSD-Befehl im schlimmsten
Falle zurück in den Werkszustand versetzt
werden können. Nun wurde bekannt,
daß noch weitere Geräte anderer Marken
betroffen sind ( zB das SONY Xperia Arc S ).

STERN Online empfiehlt, eine Test-USSD-Seite
aufzurufen, um zu sehen, ob das eigene
Gerät ebenfalls von der Sicherheitslücke
betroffen ist. Erscheint auf dem Display
nun die IMEI-Nummer, ist das Handy gefährdet, denn dann führt es einfach so
auf Befehl USSD-Codes aus.

Bei mir öffnete sich die Telefonfunktion
und man sah dort ein paar wenige
Zeichen ( sowas wie *#06# oder so ähnlich ). Ich habe ein SONY Xperia S.
So nehme ich dann mal an, nicht
betroffen zu sein... Das Handy hat die
Nummer auch nicht einfach gewählt,
dazu hätte ich selbst noch auf "anrufen"
tippen müssen.

Hier gehts zum STERN Online-Artikel :
http://mobil.stern.de/op/stern/de/c...-Sicherheitsluecke-Welche-Handys/1900903/home

heise.de gibt ebenfalls Tipps
( klicke ich darauf, öffnet sich paralell
bei mir noch die Telefonfunktion -
wieder, ohne eigenständig anzurufen ) :
http://www.heise.de/security/dienste/USSD-Check-1717811.html

Dunkle Grüße !
Melle

Gesendet von meinem LT26i mit der Android-Hilfe.de App
 
Zuletzt bearbeitet:
Cynob schrieb:
Es sind alle TW Roms betroffen - bin echt mal gespannt ob Samsung da aktiv wird (was sie sollten mMn.)

:lol::D:lol:

Samsung und Aktiv in einem Satz, ist heute 1.April ? :D
 
[/ironie-on] Ich mach jetzt Plakate mit dem QR Code und schreib "free beer" drüber, dann wird das bestimmt was ;) [/ironie-off]
 
  • Danke
Reaktionen: XeLLaR
Bis es einen Patch gibt empfiehlt es sich wohl auf NoTelUrl zurückzugreifen..
 
Die App bringt doch überhaupt nix. Hab die App installiert und dennoch lässt sich USD codes ausführen...:blink:
 
Genau diese App wurde doch bereits im ersten Post verlinkt?

lazyjo schrieb:
bei uns im Samsung S3 Forum wurde eine Website mit einer App veröffentlicht, die das Problem behebt:

Smartphone


koalalump schrieb:
Ehrlich gesagt verstehe ich das ganze Bohei darum nicht so ganz. Auch die Wortwahl "Sicherheitsleck" von heise ist reißerisch gewählt.

Ein "Leck" würde ja implizieren, dass irgendwelche Daten nach aussen dringen können - so ist es ja aber nicht. Niemand kann einem dadurch irgendwelche Daten entwenden. Die einzige Gefahr ist doch, dass dir jemand deine Daten vom Handy löscht und dich damit ärgert, aber wer wäre so blöd, irgendwelche superwichtigen, hochsensiblen Daten aussschließlich auf seinem Handy zu speichern?

"Reißerisch" ist das nicht unbedingt, es ist nur sprachlich nicht korrekt, da, wie du schon sagtest, nicht in irgendeiner Form Daten "heraus kommen" können, was ein "Leck" ja aber eigentlich impliziert. SicherheitsLÜCKE wäre hier wohl passender gewesen, was keineswegs reißerisch ist, denn so ist es ja nun mal, wenn jemand von außen Krams auf meinem Gerät löschen kann.
 
Zuletzt bearbeitet:
Na da haben wir ja echt Schwein, dass unser SGS+ von Samsung so vorbildlich mit Updates versorgt wird. ;)

Vielleicht nimmt das Samsung mal zum Anlass, endlich das lang versprochene Value Pack auszuliefern.
 
Die App trägt im System ein, dass sie für URLs zuständig ist, die mit der Schema-Bezeichnung TEL: beginnen, also Links zu Telefonnummern. Normalerweise nimmt nur das Wählprogramm Links dieses Typs entgegen. Da nun zwei Programme diesen Linktyp für sich beanspruchen, wird der Nutzer nach dem Anklicken dazu aufgefordert, sich für eines davon zu entscheiden. Wird der Eintrag NoTelURL angeklickt, fängt die App den Vorgang ab. (aus dem heise-Artikel)

Wenn man nun noch bei "Für diesen Vorgang als Standard definieren" den Haken setzt und anschließend NoTelURL auswählt, werden keine USSD-Codes mehr direkt an das Wählprogramm geschickt.

Hast du evtl. "Telefon" als Standard ausgewählt :confused:
Dann kann es natürlich nicht funktionieren.

Und falls du USSD-Codes direkt eingibst, die werden natürlich nicht abgefangen.
Dadurch besteht aber auch keine Gefahr, es sei denn, von dem der vor dem Gerät sitzt ;-)


Bei Stock-ROM 2.3.6 funzt es ...

tobby
 
Und wieder einen hier her verschoben. Es gehört nicht ins S3 Forum und ist nicht gerade neu!
 
  • Danke
Reaktionen: copterx
Natürlich nicht direkt mit komplett löschen. Aber den englischen Text hatte ich so verstanden, das wenn die IMEI Nummer erscheint, das Smartphone gefärdet ist.
 
mausbock schrieb:
Na da haben wir ja echt Schwein, dass unser SGS+ von Samsung so vorbildlich mit Updates versorgt wird. ;)

Vielleicht nimmt das Samsung mal zum Anlass, endlich das lang versprochene Value Pack auszuliefern.

[offtopic] Stimmt und dabei sollten die Dein kleines Proggie mit reinpacken GPS2EXIF - ich weiß auch nicht, warum Samsung die GPS Daten nicht in die Erweiterung eines Fotos reinschreibt - komischerweise macht das normale Galaxy S das - hatte ich bei einem Kollegen gesehen.... [/offtopic]
 
Habs gerade mit dem Dolphin Browser HD getestet...
Hoffentlich haben die das Loch bald dichtgemacht :unsure:
 
Ich finds einfach nur lustig. Ich weiss schon, wieso ich immer Samsung gemieden habe ;)
 

Ähnliche Themen

C
Antworten
5
Aufrufe
133
Herman
H
P
Antworten
8
Aufrufe
281
maik005
maik005
Zurück
Oben Unten