Qualcomm-Prozessoren geben die sensibelsten Daten der Nutzer preis

Die Nutzer zahlreicher Android-Geräte können sich aktuell nicht sicher sein, ob sie ihren Smartphones und Tablets bei einer vermeintlich geschützten Kommunikation trauen können. Denn eine schwerwiegende Sicherheitslücke in Qualcomm-Prozessoren lässt private Krypto-Keys und Passwörter nach Außen lecken. Der Bug betrifft das Qualcomm Secure Execution Environment (QSEE). Dabei handelt es sich um einen schon in der Hardware vom übrigen Prozessor abgetrennten Bereich, in dem sicherheitsrelevante Informationen wie Schlüssel oder auch biometrische Daten abgelegt werden können. Ähnliches kennt man auch von Intels SGX oder der Secure Enclave in iOS-Systemen von Apple.

Die Schwachstelle, die nun bekannt wurde, ist unter der Kennung CVE-2018-11976 in den Security-Datenbanken verzeichnet. Und Qualcomm hat auch schon einen Patch zur Verfügung gestellt, mit dem sich Geräte, die schon an Kunden ausgeliefert sind nachträglich flicken lassen. Angesichts der mangelhaften Verbreitung von Updates auf der Android-Plattform muss man aber davon ausgehen, dass es noch lange dauert, bis ein nennenswerter Teil der betroffenen Kunden versorgt wurde.

Angriffe sind nicht nur eine Theorie

Entdeckt wurde das Problem unterdessen schon vor längerer Zeit - nämlich im März letzten Jahres. Keegan Ryan, ein Sicherheitsforscher der NCC Group, fand damals heraus, dass die Implementierung des Signatur-Algorithmus von Qualcomm nicht hinreichend sicher ist und es erlaubt mitzulesen, welche Informationen im sicheren Bereich der Qualcomm-Chips verarbeitet werden.

Um die Schwachstelle auszunutzen, benötigt man Root-Rechte auf einem System. Das hört sich erst einmal so an, als hätte man es hier mit einem eher theoretischen Problem zu tun. Dem ist allerdings nicht so, denn Malware, die sich auf Android-Geräten einen Root-Zugang verschafft, ist nicht gerade eine Seltenheit. Betroffen von dem Bug sind viele der häufig eingesetzten Chips des Herstellers.

Siehe auch: Snapdragon 730G: Qualcomm bringt erste CPU für Smartphone-Gaming