Kritische Sicherheitslücke bei HTC-Smartphones entdeckt
04.10.2011
Die Softwareentwickler Artem Russakovskii, Justin Case und Trevor Eckhard entdeckten eine kritische Sicherheitslücke bei einigen Android-Smartphones von
HTC. Betroffen sind unter anderem die Geräte Evo 3D, Evo 4G und Thunderbolt. Ein Programmierfehler soll es Anwendungen mit Internetzugriff möglich machen, auf persönliche Daten wie SMS, E-Mail, Telefonnummern und Standortinformationen zuzugreifen. Nach einem Software-Update von HTC wurden sogenannte Logging-Anwendungen installiert. Diese sammeln zahlreiche Informationen und liefern sie an HTC weiter. Ob nun dadurch ein besserer Support bei technischen Problemen garantiert werden soll oder andere Gründe bestehen, ist nicht ganz klar. Ein Unternehmen, das aber auf diese Weise Daten sammelt, sollte absolut sicher sein, dass kein anderer darauf Zugriff hat, schreibt Russakovskii in seinem
Blog. Doch dies sei zurzeit nicht der Fall.
Sensible Informationen könnten demnach nicht nur durch HTC erhoben werden, sondern durch jede andere App, die die Genehmigung „android.permission.Internet“ besitzt. Dies sei bei allen Anwendungen der Fall, die zum Beispiel Werbung anzeigen oder einfachen Online-Zugang besitzen. "Das ist so, als würde man seine Schlüssel unter die Fußmatte legen und erwarten, dass niemand, der sie findet, damit die Tür öffnet", so Russakovskii weiter. Listen aller Nutzerkonten, inklusive E-Mail-Adressen, aktuelle sowie frühere GPS-Standorte, zuletzt gewählte Telefonnummern und Angaben zu ausgeführten Anwendungen und deren Aktivitäten können durch die Sicherheitslücke aufgerufen werden.
Angeblich sei HTC bereits seit dem 24. September über den Fehler informiert gewesen, so die IT-Forscher. Nachdem sie aber nach fünf Werktagen keine Antwort vom Handyhersteller erhielten, gingen sie mit ihren Ergebnissen an die Öffentlichkeit. "Soweit wir wissen, schaut sich HTC das Problem jetzt an, aber es gibt bisher noch keine Stellungnahme", erklärt Russakovskii abschließend. Um das Problem zu beheben, nennen die Forscher zwei Möglichkeiten: Nutzer müssten entweder auf ein Update von HTC warten, das die Sicherheitslücke schließt, oder aber das Smartphone rooten und die Logging-Tools dadurch wieder löschen. Allen Besitzern der betroffenen HTC-Handys raten die IT-Experten zu besonderer Vorsicht beim Download von neuen Anwendungen. Außerdem könnten auch weitere HTC-Modelle wie das Evo Shift 4G, das MyTouch 4G Slide oder das in den USA angekündigte Vigor gefährdet sein.