finnq
Ehrenmitglied
- 3.674
Hallo liebe Samsung User,
gestern wurde von einem User namens alephzain im XDA Forum eine wirklich gravierende Sicherheitslücke in vielen Samsung Geräten entdeckt, welche Apps Vollzugriff auf den Speicher gestattet. Ich werde versuchen euch die Lücke verständlich zu erklären.
Aber zu erst einmal, was kann die Lücke?
Mit dieser Lücke kann jede App die ihr installiert ganz egal ob vom PlayStore oder sonst wo ohne Nachfrage als root schalten und walten was sie will. D. h. ihr werdet nicht gefragt wenn die App zum Beispiel eure Telefonate mithört, Passwörter ausließt, die Kamera im Hintergrund mitschneidet, Ton mitschneidet usw. Es ist fast alles möglich, da durch diese Lücke Vollzugriff auf den Speicher zustande kommt.
Wie funktioniert das?
Nun ja, zunächst ein mal, Android basiert auf Linux, und bei Linux wird auf Geräte wie auf Dateien zu gegriffen. Das heißt, wenn ihr zum Beispiel einen Drucker an ein Linux Gerät anschließt, sagt ihr diesem was er drucken soll in dem ihr etwas in diese Datei, welche dann in entsprechenden Verzeichnissen erscheint, herein schreibt.
So wird auch der RAM angesprochen. Der RAM befindet sich in einer Datei namens /dev/mem. Bei Exynos 4 (Samsung) Geräten gibt es zusätzlich eine Datei namens /dev/exynos-mem, diese ist für verschiedene grafische Sachen, wie z.B. die Kamera, Speicher Reservierung und HDMI zuständig. Durch diese Datei wird der Vollzugriff möglich. Dazu aber später mehr.
Früher, z. B. bei Ubuntu 7, war es möglich als root auf die "Datei" /dev/mem richtig zu zugreifen. Man merkt aber selbst, dass Anwendungen manchmal root-Rechte brauchen um z.B. auf einen Drucker zu zugreifen. Also dachte man sich, dass es eine große Sicherheitslücke darstellt, wenn der User root auf die Datei zugreifen kann. Obwohl der User root ja eigentlich alles darf, muss eine normale Userland Anwendung, auch wenn sie als root läuft normal nie auf /dev/mem zugreifen. Also wurde 2008 ein Patch in den Linux Kernel eingepflegt, der auch root verhindert richtig auf die Datei zu zugreifen.
Wie schon gesagt ist /dev/mem ein Abbild des RAMs. Dort werden alle möglichen Sachen gespeichert. Zum Beispiel Passwörter usw.
Nun wurden von einem Samsung Entwickler die Rechte der "Datei" (des Geräts) /dev/exynos-mem falsch gesetzt. Die Gruppe "others" (also jeder) hat Lese- UND Schreibzugriff auf die Datei. Somit kann auch eine einfache App Vollzugriff auf den Speicher erlangen und wie oben beschrieben Passwörter auslesen, Telefonate abhören und vieles mehr OHNE, DASS IHR EUER GERÄT GEROOTET HABT! IHR MÜSST GAR NICHTS MACHEN. EUER GERÄT MUSS IN KEINSTER WEIẞE VON EUCH MODIFIZIERT WERDEN. Das ist also wie wenn ihr Millionen von Kopien von eurem Türschlüssel macht und die in der Stadt verteilt.
Aber es komm noch viel schlimmer. User die ihre Geräte gerootet haben, kennen ja hoffentlich die App "Superuser" bzw. "SuperSU", welche euch schön vorher fragt ob ihr wollt, dass eine App root-Rechte bekommt. Genau diese Abfrage kommt aber nicht, da direkt auf den RAM zugegriffen wird und somit die App einfach umgangen wird.
Welche Geräte sind betroffen?
Für diese gravierende Sicherheitslücke gibt es noch keinen offiziellen Fix bzw. Patch von Samsung. Allerdings gibt es schon viele Apps die diese Lücke mehr oder weniger beheben. Ich werde euch hier 3 Apps und einen sehr sicheren Kernel Patch vorstellen.
Apps:
ExynosAbuse APK von Chainfire:
Diese App kann gleich zwei Sachen.
Bei dieser App ist es nötig, dass euer Gerät vorher gerootet ist. Dies stellt leider einen kleinen Nachteil für Otto-Normalnutzer da, aber dafür ist diese App auch die Sicherste von allen, die ich hier vorstelle.
Anleitung:
Voodoo Lazy Anti ExynosAbuse von supercurio:
Als erstes ladet ihr diese App herunter und installiert sie. (Falls ihr noch nie eine App welche nicht vom PlayStore stammt installiert habt, müsst ihr noch einen Haken unter Einstellungen - Sicherheit - Unbekannte Herkunft setzen. Nach der Installation könnt ihr diesen zur Sicherheit wieder entfernen.)
Bei dieser App ist es nicht nötig, dass euer Gerät vorher gerootet ist. Allerdings ist diese App auch nicht so ganz sicher wie die App von Chainfire.
Anleitung:
ExynosFix von RyanZA:
Als erstes ladet ihr diese App herunter und installiert sie. (Falls ihr noch nie eine App welche nicht vom PlayStore stammt installiert habt, müsst ihr noch einen Haken unter Einstellungen - Sicherheit - Unbekannte Herkunft setzen. Nach der Installation könnt ihr diesen zur Sicherheit wieder entfernen.)
Bei dieser App ist es nötig, dass euer Gerät vorher gerootet ist. Auch ist diese App auch nicht so ganz sicher wie die App von Chainfire. Insgesamt würde ich diese App auch am wenigsten empfehlen. Da die App OpenSource ist, stelle ich sie hier trotzdem vor, weil man mal einen kleinen Einblick in den Source bekommt, was die App tatsächlich macht. So kann man sie auch selbst kompilieren falls man supercurio und Chainfire nicht vertraut
.
Anleitung:
Bei allen vorgestellten Apps kann es vorkommen, dass eure "Heckkamera" nicht mehr funktioniert. In diesem Fall müsst ihr den Fix einfach solange deaktivieren bis ihr eure Bilder gemacht habt.
Warum sagt mein Antiviren Scanner, dass die Apps Viren sind?
Warum beschwert ihr euch wenn euer Antiviren Scanner funktioniert? Die Apps ändern sehr System nahe Dateien und nutzen zum Teil die Lücke selbst aus um den Fix anzuwenden. Also ist es schon richtig, dass euer Scanner anspringt, die App einfach als Ausnahme hinzufügen.
Warum ist die App von supercurio und RyanZA nicht so sicher wie die von Chainfire?
Nun ja, die Apps von supercurio und RyanZA klinken sich ganz normal in den Android Autostart Mechanismus ein. Android lost die Reihenfolge der zu startenden Apps sozusagen aus. Deshalb kann es passieren, dass die böse App vor den Apps von supercurio und RyanZA startet und die Lücke anwendet. Chainfires App klinkt sich tiefer in euer System ein und startet noch vor den anderen Apps die durch den normalen Autostart Mechanismus gestartet werden.
Kernel Patches:
Kernel Patch von AndreiLux:
Dieser Patch ist für Otto-Normaluser uninteressant. Falls ihr aber eure eigenen Kernel kompiliert oder einfach gerne mal rein schaut was der Patch denn macht habe ich den Source verlinkt. Im Prinzip lässt dieser Patch nur die Kamera spezifischen Anfragen durch und blockt alles andere, also ist es uninteressant ob /dev/exynos-mem für alle Les- und Schreibbar ist oder nur für root. Hier blockt nämlich der Kernel alles was böse ist. Das ist die sicherste Methode, da sogar wenn die App als root ausgeführt wird kein Angriff auf den Speicher möglich ist.
Ganz darauf verlassen dürft ihr euch natürlich immer noch nicht. Also immer Augen auf, überlegen ob ihr die App wirklich braucht und auf die Rechte der App schauen!
Eine gute Sache hat das ganze aber, wobei man bei so einer Lücke das Wort gut gar nicht in den Mund nehmen sollte, ihr könnt euer Gerät jetzt ohne ODIN rooten, also ihr müsst nichts flashen um euer Gerät vollständig zu rooten. Beschrieben habe ich das bei Chainfires ExynosAbuse APK.
Fazit: Bei dieser Lücke ist wirklich höchste Vorsicht geboten. Momentan gibt es noch KEINEN offiziellen Fix dafür. Bis Samsung einen bringt können wahrscheinlich eh noch Monate vergehen.
Eine weitere Möglichkeit diese Lücke zu umgehen ist, CyanogenMod 10.1 Builds ab dem 16.12.2012 nach 16:00 Uhr zu flasehen, dort wurde die Lücke gepatcht.
Quellennachweis: [ROOT][SECURITY] Root exploit on Exynos - xda-developers
gestern wurde von einem User namens alephzain im XDA Forum eine wirklich gravierende Sicherheitslücke in vielen Samsung Geräten entdeckt, welche Apps Vollzugriff auf den Speicher gestattet. Ich werde versuchen euch die Lücke verständlich zu erklären.
Aber zu erst einmal, was kann die Lücke?
Mit dieser Lücke kann jede App die ihr installiert ganz egal ob vom PlayStore oder sonst wo ohne Nachfrage als root schalten und walten was sie will. D. h. ihr werdet nicht gefragt wenn die App zum Beispiel eure Telefonate mithört, Passwörter ausließt, die Kamera im Hintergrund mitschneidet, Ton mitschneidet usw. Es ist fast alles möglich, da durch diese Lücke Vollzugriff auf den Speicher zustande kommt.
Wie funktioniert das?
Nun ja, zunächst ein mal, Android basiert auf Linux, und bei Linux wird auf Geräte wie auf Dateien zu gegriffen. Das heißt, wenn ihr zum Beispiel einen Drucker an ein Linux Gerät anschließt, sagt ihr diesem was er drucken soll in dem ihr etwas in diese Datei, welche dann in entsprechenden Verzeichnissen erscheint, herein schreibt.
So wird auch der RAM angesprochen. Der RAM befindet sich in einer Datei namens /dev/mem. Bei Exynos 4 (Samsung) Geräten gibt es zusätzlich eine Datei namens /dev/exynos-mem, diese ist für verschiedene grafische Sachen, wie z.B. die Kamera, Speicher Reservierung und HDMI zuständig. Durch diese Datei wird der Vollzugriff möglich. Dazu aber später mehr.
Früher, z. B. bei Ubuntu 7, war es möglich als root auf die "Datei" /dev/mem richtig zu zugreifen. Man merkt aber selbst, dass Anwendungen manchmal root-Rechte brauchen um z.B. auf einen Drucker zu zugreifen. Also dachte man sich, dass es eine große Sicherheitslücke darstellt, wenn der User root auf die Datei zugreifen kann. Obwohl der User root ja eigentlich alles darf, muss eine normale Userland Anwendung, auch wenn sie als root läuft normal nie auf /dev/mem zugreifen. Also wurde 2008 ein Patch in den Linux Kernel eingepflegt, der auch root verhindert richtig auf die Datei zu zugreifen.
Wie schon gesagt ist /dev/mem ein Abbild des RAMs. Dort werden alle möglichen Sachen gespeichert. Zum Beispiel Passwörter usw.
Nun wurden von einem Samsung Entwickler die Rechte der "Datei" (des Geräts) /dev/exynos-mem falsch gesetzt. Die Gruppe "others" (also jeder) hat Lese- UND Schreibzugriff auf die Datei. Somit kann auch eine einfache App Vollzugriff auf den Speicher erlangen und wie oben beschrieben Passwörter auslesen, Telefonate abhören und vieles mehr OHNE, DASS IHR EUER GERÄT GEROOTET HABT! IHR MÜSST GAR NICHTS MACHEN. EUER GERÄT MUSS IN KEINSTER WEIẞE VON EUCH MODIFIZIERT WERDEN. Das ist also wie wenn ihr Millionen von Kopien von eurem Türschlüssel macht und die in der Stadt verteilt.
Aber es komm noch viel schlimmer. User die ihre Geräte gerootet haben, kennen ja hoffentlich die App "Superuser" bzw. "SuperSU", welche euch schön vorher fragt ob ihr wollt, dass eine App root-Rechte bekommt. Genau diese Abfrage kommt aber nicht, da direkt auf den RAM zugegriffen wird und somit die App einfach umgangen wird.
Welche Geräte sind betroffen?
- Samsung Galaxy S2 (i9100)
- Samsung Galxy Note 2
- MEIZU MX
- potenziell alle Geräte, die auf dem Exynos (4210 und 4412) Prozessor aufbauen und die Samsung Kernel Sourcen nutzen.
Für diese gravierende Sicherheitslücke gibt es noch keinen offiziellen Fix bzw. Patch von Samsung. Allerdings gibt es schon viele Apps die diese Lücke mehr oder weniger beheben. Ich werde euch hier 3 Apps und einen sehr sicheren Kernel Patch vorstellen.
Apps:
ExynosAbuse APK von Chainfire:
Diese App kann gleich zwei Sachen.
- Euer Gerät ohne etwas zu flashen rooten (auch der Counter wird nicht gesetzt, somit erscheint auch kein Warndreieck beim Booten.)
- Die Sicherheitslücke fixen.
Bei dieser App ist es nötig, dass euer Gerät vorher gerootet ist. Dies stellt leider einen kleinen Nachteil für Otto-Normalnutzer da, aber dafür ist diese App auch die Sicherste von allen, die ich hier vorstelle.
Anleitung:
- Wenn ihr die App geöffnet habt, klickt ihr als erstes auf "Root device".
- Danach erscheint eine Meldung mit dem Text "SUCCESS: Your device has been rooted !".
- Jetzt klickt ihr auf "Disable exploit". Nun ist der Exploit für eure aktuelle Sitzung außer Kraft gesetzt, dass heißt aber, nach einem Neustart währt ihr wieder angreifbar.
- Damit man das verhindert, muss noch ein Haken bei "Disable exploit on boot" gesetzt werden, dass ist sehr zu empfehlen.
Voodoo Lazy Anti ExynosAbuse von supercurio:
Als erstes ladet ihr diese App herunter und installiert sie. (Falls ihr noch nie eine App welche nicht vom PlayStore stammt installiert habt, müsst ihr noch einen Haken unter Einstellungen - Sicherheit - Unbekannte Herkunft setzen. Nach der Installation könnt ihr diesen zur Sicherheit wieder entfernen.)
Bei dieser App ist es nicht nötig, dass euer Gerät vorher gerootet ist. Allerdings ist diese App auch nicht so ganz sicher wie die App von Chainfire.
Anleitung:
- Wenn ihr die App geöffnet habt, seht ihr ganz oben ob euer Gerät von dieser Lücke betroffen ist.
- Falls dort "Warning ! Your system is currently vulnerable" steht klickt ihr auf "Enable Exynos vulnerability fix". Nun ist der Exploit für eure aktuelle Sitzung außer Kraft gesetzt, dass heißt aber, nach einem Neustart währt ihr wieder angreifbar.
- Damit man das verhindert, muss noch ein Haken bei "Enable Exynos vulnerability fix at boot" gesetzt werden, dass ist sehr zu empfehlen.
- Zum Deaktivieren des Fixes entfernt ihr einfach beide Haken wieder.
ExynosFix von RyanZA:
Als erstes ladet ihr diese App herunter und installiert sie. (Falls ihr noch nie eine App welche nicht vom PlayStore stammt installiert habt, müsst ihr noch einen Haken unter Einstellungen - Sicherheit - Unbekannte Herkunft setzen. Nach der Installation könnt ihr diesen zur Sicherheit wieder entfernen.)
Bei dieser App ist es nötig, dass euer Gerät vorher gerootet ist. Auch ist diese App auch nicht so ganz sicher wie die App von Chainfire. Insgesamt würde ich diese App auch am wenigsten empfehlen. Da die App OpenSource ist, stelle ich sie hier trotzdem vor, weil man mal einen kleinen Einblick in den Source bekommt, was die App tatsächlich macht. So kann man sie auch selbst kompilieren falls man supercurio und Chainfire nicht vertraut
.Anleitung:
- Wenn ihr die App geöffnet habt, seht ihr ob euer Gerät von dieser Lücke betroffen ist.
- Falls dort steht, dass euer Gerät betroffen ist, klickt ihr auf "Fix". Nun ist der Exploit für eure aktuelle Sitzung außer Kraft gesetzt.
- Die App startet beim Booten automatisch und wendet den Fix dann wieder für die aktuelle Sitzung an.
- Zum Deaktivieren des Fixes klickt ihr einfach auf "UnFix".
Bei allen vorgestellten Apps kann es vorkommen, dass eure "Heckkamera" nicht mehr funktioniert. In diesem Fall müsst ihr den Fix einfach solange deaktivieren bis ihr eure Bilder gemacht habt.
Warum sagt mein Antiviren Scanner, dass die Apps Viren sind?
Warum beschwert ihr euch wenn euer Antiviren Scanner funktioniert? Die Apps ändern sehr System nahe Dateien und nutzen zum Teil die Lücke selbst aus um den Fix anzuwenden. Also ist es schon richtig, dass euer Scanner anspringt, die App einfach als Ausnahme hinzufügen.
Warum ist die App von supercurio und RyanZA nicht so sicher wie die von Chainfire?
Nun ja, die Apps von supercurio und RyanZA klinken sich ganz normal in den Android Autostart Mechanismus ein. Android lost die Reihenfolge der zu startenden Apps sozusagen aus. Deshalb kann es passieren, dass die böse App vor den Apps von supercurio und RyanZA startet und die Lücke anwendet. Chainfires App klinkt sich tiefer in euer System ein und startet noch vor den anderen Apps die durch den normalen Autostart Mechanismus gestartet werden.
Kernel Patches:
Kernel Patch von AndreiLux:
Dieser Patch ist für Otto-Normaluser uninteressant. Falls ihr aber eure eigenen Kernel kompiliert oder einfach gerne mal rein schaut was der Patch denn macht habe ich den Source verlinkt. Im Prinzip lässt dieser Patch nur die Kamera spezifischen Anfragen durch und blockt alles andere, also ist es uninteressant ob /dev/exynos-mem für alle Les- und Schreibbar ist oder nur für root. Hier blockt nämlich der Kernel alles was böse ist. Das ist die sicherste Methode, da sogar wenn die App als root ausgeführt wird kein Angriff auf den Speicher möglich ist.
Ganz darauf verlassen dürft ihr euch natürlich immer noch nicht. Also immer Augen auf, überlegen ob ihr die App wirklich braucht und auf die Rechte der App schauen!
Eine gute Sache hat das ganze aber, wobei man bei so einer Lücke das Wort gut gar nicht in den Mund nehmen sollte, ihr könnt euer Gerät jetzt ohne ODIN rooten, also ihr müsst nichts flashen um euer Gerät vollständig zu rooten. Beschrieben habe ich das bei Chainfires ExynosAbuse APK.
Fazit: Bei dieser Lücke ist wirklich höchste Vorsicht geboten. Momentan gibt es noch KEINEN offiziellen Fix dafür. Bis Samsung einen bringt können wahrscheinlich eh noch Monate vergehen.
Eine weitere Möglichkeit diese Lücke zu umgehen ist, CyanogenMod 10.1 Builds ab dem 16.12.2012 nach 16:00 Uhr zu flasehen, dort wurde die Lücke gepatcht.
Quellennachweis: [ROOT][SECURITY] Root exploit on Exynos - xda-developers
Zuletzt bearbeitet:
) 
