Chromium: Android-Lücke nach sechs Jahren endlich geschlossen

Die Browser-Engine Chromium von Google ist ein wichtiger Baustein für den Netzzugang in Android und fungiert auch als Unterbau für viele andere Browser. Jetzt gibt es Meldungen, dass eine Sicherheitslücke der Engine nach sechs Jahren geschlossen werden konnte. Das Problem: Nicht alle Nutzer werden automatisch mit Updates versorgt.

Chromium bekommt nach sechs Jahren endlich einen Patch verpasst

Manchmal schlummern Sicherheitslücken Jahre in Programmen, ohne dass eine Reparatur gelingt - oder diese überhaupt versucht wurde. Sicherheitsforscher haben jetzt in der Google Browser-Engine Chromium einen Fehler behoben, der unter Android Nutzer angreifbar gemacht hatte. Nach ihrer Analyse war das Problem wohl erstmals mit der Veröffentlichung von Android 4.4 im September 2013 aufgetreten.

Wie der Forscher Sergey Toshin von Positive Technologies beschreibt, zieht sich der "kritische Fehler" seitdem durch alle veröffentlichten Android-Versionen und betrifft die sogenannte WebView-Komponente. "Damit kann ein Angreifer Malware oder Instant-Apps nutzen, um Zugang zu persönlichen Daten des Android-Users zu erlangen", so die Analyse.

Mit WebView kann Android seit Version 4.4 Webinhalte auch direkt in Apps anzeigen, ohne dass der Browser geöffnet werden muss. Da der Fehler im Unterbau Chromium entdeckt wurde, sind laut den Sicherheitsexperten neben dem Google Chrome Browser auch Samsungs Internet Browser und der Yandex Browser betroffen. "Die WebView-Komponente kommt in fast allen Android-Apps zum Einsatz, deshalb ist eine solche Attacke extrem gefährlich", so Toshin.

Eines der möglichen Angriffsszenarien: Hacker könnten die Lücke nutzen, um über Instant-Apps Nutzerdaten abzugreifen. Dabei handelt es sich um kleine Testanwendungen, die ohne vollständige Installation über einen Link aufgerufen werden können. "Browser-Verlauf, Anmelde-Tokens und andere wichtige Daten" seien so laut Positive Technologies abgreifbar gewesen.

Update auf verschiedenen Wegen

Da Chromium seit Android 7.0 über den Google Chrome Browser mit Updates versorgt wird, wurden die meisten Android-Nutzer bereits mit einem Update im Januar von der Sicherheitslücke befreit. Bei Geräten mit älteren Versionen steht die neue Chromium-Version als Einzelupdate im Play Store bereit. Nutzer ohne Play Store müssen auf Updates der Hersteller warten.

Download Nova Launcher - Alternativer Launcher für Android