Lücke in Android 4.1 – 4.4 ermöglicht Anrufe durch Apps ohne Berechtigung

[Saenchai]

Mal wieder ne neue Lücke.

Lücke in Android 4.1 4.4 ermöglicht Anrufe durch Apps ohne Berechtigung

 

[rob239]

Äußerst bedenkliche Sache. Hoffentlich kann es wirklich durch ein einfaches Update behoben werden.

 

[Estoroth]

Es ist bereits behoben in 4.4.3 und 4.4.4, siehe Originalartikel bei Curesec: Cureblog - Der Blog der Curesec GmbH

Edit: mein Note 3 mit 4.4.2 ist jedoch anfällig (gerade mit der App getestet)

 

[Aaskereija]

Offenbar wieder ne Sicherheitslücke/Bug entdeckt worden die es Apps erlaubt, selbst Anrufe zu unterdrücken oder auch abzusetzen. Apps können den Bug ausnutzen, um sich zusätzliche Berechtigungen zu geben und auf diesem Wege in Eigenregie über die Telefonfunktion Nummern anzurufen.

Laut Computerworld sind alle Android-Versionen von 4.1.x bis 4.4.3 betroffen.
Der Bug ist erst mit Android 4.4.4 behoben.

 

[tszr]

Android Apps könne ohne Rechte telefonieren !
Betroffen sind die Versionen 4.1.1 - 4.4.2 erst ab version 4.4.4 soll es behoben sein.

Quellen:
Android-Apps können ohne Rechte telefonieren - IT-Security - derStandard.at
Android lässt Apps ohne Rechte telefonieren | heise Security

Google wurde Ende 2013 informiert

Die Ursache für die Sicherheitslücke findet sich im Code der Telefoniefunktionen, berichtet heise. Hier befinde sich die Klasse NotificationBroadcastReceiver im Status "exportiert", was laut einigen Entwicklern aber nicht der Fall sein dürfte. Die Sicherheitsforscher haben Google schon Ende 2013 informiert, ihre Entdeckung aber erst jetzt veröffentlicht.
Betroffen sind die Versionen Android 4.1.1 bis 4.4.2. In der aktuellsten Android-Version 4.4.4 soll der Fehler behoben worden sein.

mfg tszr

 

[CommanderC]

Fall man wie ich (noch) kein Update auf 4.4 bekommt.. eventuell schützen ja Apps wie Call Confirm (Anruf nochmal bestätigen), Telstop bzw. NoTelUrl (fangen USSD Codes ab) davor?

Zumindest bei Call Confirm kommt bei meinem Cynus T5 das Bestätigungs-Popup wenn ich die App von Curesec teste.

 

[don_giovanni]

Google wird künftig mit großen Namen auf Lückensuche gehen:

https://www.android-hilfe.de/forum/...ie-suche-nach-sicherheits-luecken.588364.html