Sicherheitslücke ermöglicht Abhören von Telefongesprächen

Aufgrund eines Problems bei Qualcomm-Hardware können laut Sicherheitsforschern unter anderem Telefongespräche abgehört werden.

Bei der betroffenen Hardware handelt es sich um den Baseband-Prozessor von Qualcomm mit der Bezeichnung „Mobile Station Modem“ (MSM). Sicherheitsforscher von Check Point entdeckten nun die massive Sicherheitslücke, durch die es möglich ist, dass Telefongespräche abgehört, Anruflisten eingesehen und SMS mitgelesen werden können. In rund ein Drittel aller Smartphones weltweit ist ein solcher Baseband-Prozessor von Qualcomm integriert, insbesondere in Android-Geräte.

Unabhängige Prüfung nur schwer möglich

Diese Hardware läuft mit einem eigenen Betriebssystem und wird genutzt, um die Kommunikation mit einem Mobilfunknetz zu ermöglichen. Die Sicherheitsproblematik liege laut Check Point in der QMI-Schnittstelle nach außen, auf die unter Android zwar nur beschränkt zugegriffen werden kann, die aber dennoch Angriffsfläche für manche Dienste biete.

Ein weiteres Problem hierbei sei, dass die unabhängige Prüfung dieser speziellen Art der Software (sog. Proprietäre Software) nur schwer möglich ist. Hierzu gebe es keine öffentlich verfügbaren Codes, was auch bei anderen Komponenten verschiedener Chip-Hersteller von Android-Geräten der Fall ist. Diese erschwerte Prüfbarkeit durch unabhängige Stellen führte schon früher zu Sicherheitslücken.

Schon früher Sicherheitsprobleme

Bereits in der Vergangenheit gab es Kritik bezüglich der Sicherheit von Qualcomm-Produkten. Im vergangenen Jahr hatte Checkpoint mithilfe eines simplen Tools 400 sicherheitskritische Lücken im digitalen Signalprozessor des Unternehmens ausfindig gemacht.

Das eingesetzte Tool, das sogenannte „Fuzzing“ sei dabei eines, welches zu den Gängigsten gehört und eigentlich für regelmäßige Tests von sicherheitskritischen Komponenten durch die Softwarehersteller selbst eingesetzt wird. Dies sei zu diesem Zeitpunkt bei Qualcomm offenbar nicht der Fall gewesen.

Sicherheit erst mit neuem Update

In einer Stellungnahme berichtet Qualcomm, dass den eigenen Partnern bereits Ende 2020 ein Update zur aktuellen Lücke zur Verfügung geschickt worden sei. Unklar ist allerdings, ob und von welchen Anbietern dieses aufgenommen wurde. Weder in den offiziellen Security-Bulletins von Google noch von anderen Unternehmen, wie Samsung sind Hinweise darauf zu finden. Teilweise werden solche Hinweise allerdings auch verspätet eingetragen, um eine erhöhte Gefährdungslage durch eine Veröffentlichung der Schwachstelle zu vermeiden.

Qualcomm zufolge solle es hierzu allerdings eine Referenz im Security Bulletin von Android für Juni 2021 geben, wodurch alle Hersteller, die den kommenden Sicherheits-Patch-Level ausweisen wollen, die Fehlerbereinigung aufnehmen müssen. Sicher kann man allerdings erst mit dem Juli-Update sein, dass die Fehlerbereinigungen integriert wurden.

Zwar sind iPhones im aktuellen Fall nicht betroffen, doch auch hier besteht die Gefahr von Sicherheitslücken durch integrierte Drittsysteme, die mit eigener Firmware laufen – beispielsweise Bluetooth. Hier ist es in der Vergangenheit sowohl bei Android- als auch iOS-Smartphones schon zu Sicherheitslücken gekommen.

[mk_ad]

Quelle: derStandard.at 

Auch interessant:

„Abgefischt“ – Datenklau bringt KonsumentInnen „ins Schwimmen“. Mit diesem Titel hat die Arbeiterkammer in Österreich eine Broschüre veröffentlicht, die ab sofort online heruntergeladen werden.

• Tipps gegen Betrug mit gestohlenen Identitäten