Hier wird nicht exploitet:
Android 11 bekommt Speicherinitialisierung

Die Entwickler der Android-Plattform geben sich redlich Mühe, den angeschlagenen Ruf ihres Produkts in Sachen Sicherheit zu verbessern. Vor allem die immer wiederkehrenden Fehler von Programmierern will man in Android 11 deutlich besser abfangen. Das Zauberwort heißt dabei Speicherinitialisierung. Diese soll sowohl im Kernel als auch im Userspace eingeführt werden, teilte die für die Security-Verbesserungen zuständige Entwickler-Gruppe Googles mit. Das soll dafür sorgen, dass insbesondere Sicherheitslücken, die in C- und C++-Anwendungen immer wieder auftreten, auf relativ tiefer Ebene unterbunden werden.

Die genannten Programmiersprachen verlangen es vom Code nicht, dass eine neu deklarierte Variable initialisiert wird. Die Folge ist, dass die verknüpfte Speicherzelle einen zufälligen Wert hat - wobei "zufällig" hier so gemeint ist, dass ihr Inhalt nicht vom Entwickler oder dem Programmverlauf abhängig ist. Bei der frischen Deklaration findet sich an dieser Adresse somit meist ein Wert, den ein anderes Programm zuvor hineingeschrieben hat. Das hat zur Folge, dass die zuvor vielleicht geschützte Information nun nach Außen dringen kann. Immer wieder bietet dies einen Punkt, an dem Exploits ansetzen können, um dem Angreifer Zugang zum System zu verschaffen.

Realistischer Ansatz

Ab Android 11 wird nun also das Betriebssystem bei allen Anwendungen dafür sorgen, dass neu deklarierte Variablen mit Null oder einem anderen Wert bestückt werden, wenn sie vom Programmcode selbst keinen anderen Inhalt zugewiesen bekommen. Die Entwickler bekommen dabei Unterstützung vom Clang-Compiler, der entsprechende Features von Haus aus mitbringt.

Microsoft hat auch schon angekündigt, eine entsprechende Initialisierung zukünftig in Windows einzusetzen. Das ist letztlich der sinnvollere Schritt, als der Versuch, Programmierer zu saubererem Code zu bewegen. Denn selbst wenn ab sofort kein Entwickler mehr unter Zeitdruck die Initialisierung vergisst, gäbe es immer noch Unmengen an alten Codes, die sich teils über Jahrzehnte angesammelt haben, in denen das Problem weiter vorhanden ist.

Siehe auch: