CyanogenMod Updater möglicherweise anfällig für Man-in-the-middle-Angriff

Das alternative Android-ROM CyanogenMod ist den meisten Lesern bekannt, es bringt Smartphones, die seitens des Herstellers kein Update mehr erhalten, unter Umständen frisches Android inklusive neuer Funktionen, andere nutzen es pauschal auf ihren Geräten, um Hersteller-Ballast loszuwerden. Der CyanogenMod bringt einen Updater mit, über den sich Nutzer frische Versionen installieren können. Hier sieht ein Blogger ein Problem, wie er in seinem Beitrag mitteilt.

3338Nxw

Die Abfrage nach neuen Versionen geschieht über die Adresse http://download.cyanogemod.org/api. Diese Adresse wird über das HTTP-Protokoll, nicht aber via HTTPS angesteuert. Ebenfalls soll die flashbare ZIP-Datei für das Custom Recovery nicht digital signiert sein. Kyh schreibt in seinem Blog weiter, dass so theoretisch Man-in-the-middle-Angriffe auf Smartphones stattfinden können, wenn jemand im Netzwerk die echte Adresse auf eine Adresse umleiten würde, die mit einer speziell präparierten Variante  der Software aufwarten würde. In einem Testaufbau stellte Kyh, so wie sich der Entdecker der Lücke nennt, ein Szenario nach und war so in der Lage, eine modifizierten CyanogenMod auf seinem Nexus zu installieren.

Gefällt dir der Artikel? Dann teile ihn mit deinen Freunden.

caschy

Hallo, ich bin Carsten! Baujahr 1977, Dortmunder im Norden, BVB-Getaufter und Gründer dieses Blogs. Auch zu finden bei Twitter, Google+, Facebook, Instagram und YouTube. PayPal-Kaffeespende. Mail: carsten@caschys.blog

Das könnte dir auch gefallen…

Mit dem Absenden eines Kommentars willigst du unserer Datenschutzerklärung und der Speicherung von dir angegebener, personenbezogener Daten zu.

6 Kommentare

  1. So ziemlich alles unverifizierte Surfen ist einem Man-in-the-Middle schutzlos ausgesetzt… – Sogar Windows-Domänen-Logins… demnach müsste man eigentlich sagen „Software ist anfällig für Man in the Middle“…
    und auch HTTPS ist nicht mehr zwingend sicher – es ist halt nur etwas schwerer per Man-in-the-Middle in sowas reinzukommen…

  2. Naja das ist ja kein Grund, diese Sicherheitslücke nicht zu schließen. Dürfte ja eigentlich kein so großer Aufwand sein.

  3. Noob-Frage: Falls die flashbare zip-Datei von einem Man-in-the-middle geändert wurde, ändert sich dann auch die md5-Checksum? Die könnte man ja recht leicht mit der vom CM-Team angegebenen vergleichen…

  4. Klar ändert sich die Checksum, nur nachschauen muss man halt selber.

  5. Das Problem ist ja, dass man auch die Checksumme irgendwoher bekommen muss. Kommt sie aus dem gleichen, unverschlüsselten Datenstrom, dann bringt diese nicht viel, weil sie ja auch verfälscht sein könnte. Einzige Abhilfe bietet eine Digitale Signatur, oder eben HTTPS bei dem sichergestellt wird, dass das Zertifikat des Servers korrekt ist.

  6. im morgigen nightly ist das auf https umgestellt: http://m13m.de/f-v

Du willst nichts verpassen?
Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den Hauptfeed abonnieren. Alternativ könnt ihr euch via E-Mail über alle neuen Beiträge hier im Blog informieren lassen. Einfach eure E-Mail-Adresse hier eingeben, dann bekommt ihr 1x täglich morgens eine Zusammenstellung. Mit dem Absenden willigst du unserer Datenschutzerklärung und der Speicherung von dir angegebener, personenbezogener Daten zu.
Wir benutzen Cookies um die Nutzerfreundlichkeit der Webseite zu verbessern. Durch Deinen Besuch stimmst Du dem zu.