Vorinstallierte Samsung-Apps machen das ganze System angreifbar

Samsung installiert unzählige eigene Apps auf seinen Galaxy-Geräten vor, bei der Absicherung der Anwendungen hat der Konzern aber offenbar geschlampt. Sicherheitsforscher entdecken von Samsung Knox bis zum Desktop-UI DeX dutzende Einfallstore für Angreifer.

Die typischen Galaxy-Apps bringen einige Probleme mit

Sicherheitslücken in Apps sind ein großes Ärgernis. Wenn diese dann auch noch in Anwendungen auftreten, die man nicht einmal selbst installiert hat, könnte das Blut vielleicht sogar noch etwas mehr ins Kochen geraten. Nach einer zweiwöchigen Überprüfung der vorinstallierten Apps auf Samsung-Galaxy-Geräten können die Sicherheitsforscher von Oversecured hier definitiv nicht für eine Beruhigung der Gemüter sorgen. Das klare Fazit: "Wir konnten mehrere gefährliche Sicherheitslücken finden." Die gute Nachricht folgt aber direkt: Samsung hat die Lücken nach eigenen Angaben beim Patchday im April geschlossen. Sieben Samsung-Apps, Oversecured entdeckt kritische Lücken Wie die Forscher beschreiben, hätten die entdeckten Fehler Angreifern einen sehr weitreichenden Zugang zum gesamten Android-System ermöglicht: Zugriffs- und Bearbeitungsrechte für Kontakte, Anrufe, SMS/MMS, die Installation beliebiger Anwendungen mit Geräteadministratorrechten und das Lesen und Schreiben von Dateien im Namen eines Systembenutzers. Für Samsung dabei besonders heikel: Diese Schwachstellen hätten auch zu einem groben Verstoß gegen die DSGVO führen können.

Geld gab's auch

Oversecured listet aktuell sieben Samsung-Anwendungen, die eine oder mehrere Lücken aufgewiesen hatten - diese sind mittlerweile allesamt mit einer CVE-Nummer versehen. Betroffen waren unter anderem Samsungs Business-Lösung Knox und das Desktop-UI DeX, aber auch eher unscheinbare Apps wie TelephonyUI und PhotoTable hatten Galaxy-Geräte angreifbar gemacht.

Für die Sicherheitsforscher lohnt sich die eigene Arbeit auch dank Samsungs Bug-Bounty-Prämien. Insgesamt konnte man knapp 20.000 US-Dollar an Belohnungen einstreichen, die schwerste Lücke war Samsung dabei 7000 Dollar wert, für das kleinste Problem gab es immerhin noch 280 Dollar.