CyanogenMod Updater möglicherweise anfällig für Man-in-the-middle-Angriff

Das alternative Android-ROM CyanogenMod ist den meisten Lesern bekannt, es bringt Smartphones, die seitens des Herstellers kein Update mehr erhalten, unter Umständen frisches Android inklusive neuer Funktionen, andere nutzen es pauschal auf ihren Geräten, um Hersteller-Ballast loszuwerden. Der CyanogenMod bringt einen Updater mit, über den sich Nutzer frische Versionen installieren können. Hier sieht ein Blogger ein Problem, wie er in seinem Beitrag mitteilt.

3338Nxw

Die Abfrage nach neuen Versionen geschieht über die Adresse http://download.cyanogemod.org/api. Diese Adresse wird über das HTTP-Protokoll, nicht aber via HTTPS angesteuert. Ebenfalls soll die flashbare ZIP-Datei für das Custom Recovery nicht digital signiert sein. Kyh schreibt in seinem Blog weiter, dass so theoretisch Man-in-the-middle-Angriffe auf Smartphones stattfinden können, wenn jemand im Netzwerk die echte Adresse auf eine Adresse umleiten würde, die mit einer speziell präparierten Variante  der Software aufwarten würde. In einem Testaufbau stellte Kyh, so wie sich der Entdecker der Lücke nennt, ein Szenario nach und war so in der Lage, eine modifizierten CyanogenMod auf seinem Nexus zu installieren.

Gefällt dir der Artikel? Dann teile ihn mit deinen Freunden.

Avatar-Foto

Hallo, ich bin Carsten! Ich bin gelernter IT-Systemelektroniker und habe das Blog 2005 gegründet. Seit 2008 ist es Beruf(ung). Baujahr 1977, Dortmunder im Norden, BVB-Fan und Vater eines Sohnes. Auch zu finden bei X, Threads, Facebook, LinkedIn und Instagram.

Neueste Beiträge

Mit dem Absenden eines Kommentars stimmst du unserer Datenschutzerklärung und der Speicherung von dir angegebener, personenbezogener Daten zu.

6 Kommentare

  1. So ziemlich alles unverifizierte Surfen ist einem Man-in-the-Middle schutzlos ausgesetzt… – Sogar Windows-Domänen-Logins… demnach müsste man eigentlich sagen „Software ist anfällig für Man in the Middle“…
    und auch HTTPS ist nicht mehr zwingend sicher – es ist halt nur etwas schwerer per Man-in-the-Middle in sowas reinzukommen…

  2. Naja das ist ja kein Grund, diese Sicherheitslücke nicht zu schließen. Dürfte ja eigentlich kein so großer Aufwand sein.

  3. Noob-Frage: Falls die flashbare zip-Datei von einem Man-in-the-middle geändert wurde, ändert sich dann auch die md5-Checksum? Die könnte man ja recht leicht mit der vom CM-Team angegebenen vergleichen…

  4. Klar ändert sich die Checksum, nur nachschauen muss man halt selber.

  5. Das Problem ist ja, dass man auch die Checksumme irgendwoher bekommen muss. Kommt sie aus dem gleichen, unverschlüsselten Datenstrom, dann bringt diese nicht viel, weil sie ja auch verfälscht sein könnte. Einzige Abhilfe bietet eine Digitale Signatur, oder eben HTTPS bei dem sichergestellt wird, dass das Zertifikat des Servers korrekt ist.

  6. im morgigen nightly ist das auf https umgestellt: http://m13m.de/f-v

Es werden alle Kommentare moderiert. Lies auch bitte unsere Kommentarregeln:

Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen. Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte - gerne auch mit Humor.

Du willst nichts verpassen?

Du hast die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den Hauptfeed abonnieren.