In einem Blogpost hat Sergey Toshin der Gründer von Oversecured, kritische Sicherheitslücken in vorinstallierten Android-Apps von Samsung aufgedeckt. Diese Lücken ermöglichten es Apps mit Geräteadministratorrechten zu installieren das Adressbuch, Anrufe und SMS zu lesen und ebenfalls beliebige Dateien als Systembenutzer zu verändern. Insgesamt handelte es sich um sieben Schwachstellen die Sergey Toshin bereits im Februar 2021 an Samsung gemeldet hatte. Für jede gemeldete Lücke erhielt er eine Bug Bounty. Samsung hat die Lücken mit den letzten Patches im April und Mai behoben.
Warnung vor schwerer Sicherheitslücke bereits im Vorjahr
Bereits im Vorjahr hatte das Bundesamt für Sicherheit in der Informationstechnik (BSI) vor einer schweren Sicherheitslücke bei Samsung-Geräten gewarnt und zur Installation von Updates geraten. Daher empfiehlt es sich die Patches schnellstmöglich zu installieren, da im Blogpost konkrete Beispiele zur Ausnutzung der Schwachstellen zu finden sind.
GDPR-Relevanz der Sicherheitslücken
Die Sicherheitslücken hätten es einem Angreifer ermöglichen können, auf Kontakte, Anrufe und SMS des Opfers zuzugreifen und diese zu manipulieren, beliebige Apps mit Geräteadministratorrechten zu installieren oder beliebige Dateien im Namen eines Systembenutzers zu lesen und zu schreiben, mittels welchem die Einstellungen des Geräts hätten geändert werden können. Folglich hätten die Schwachstellen zu einer Verletzung der Datenschutz-Grundverordnung (GDPR) führen können. Allerdings konnte Sergey Toshin Samsung dabei helfen diese Schwachstellen rechtzeitig zu identifizieren und zu beheben.
Übersicht über die Schwachstellen
Die folgende Tabelle gibt einen Überblick über die sieben Schwachstellen inklusive Verweis auf die CVEs (Abkürzung für Common Vulnerabilities and Exposures, eindeutige IDs für Sicherheitslücken).
Bug Bounty Programm von Samsung
Da Samsung ein Bug Bounty Programm anbietet, konnte Sergey Toshin als Dankeschön über 20․000$ erhalten. Es lohnt sich deshalb immer, bei entdeckten Sicherheitslücken zu überprüfen, ob das "Opfer" ein solches Programm anbietet, ebenso wie es viele große Firmen wie Facebook, Microsoft oder Sony auch tun.
Kommentare