Apache Cordova-Sicherheitslücke macht Änderungen an Android Apps möglich

Originalartikel von Seven Shen, Mobile Threats Analyst

Die Sicherheitsforscher von Trend Micro haben eine Sicherheitslücke im Apache Cordova App Framework entdeckt, über die Angreifer einfach durch Anklicken einer URL das Verhalten von Apps ändern können. Diese Modifikationen können harmloser Natur sein aber auch zum Crash der Apps führen.

Die unter CVE-2015-1835 geführte „High-Severity“ Sicherheitslücke betrifft alle Versionen von Apache Cordova bis zu 4.0.1. Apache hat in einem Sicherheitsbulletin die Lücke bestätigt. Dies bedeutet, dass die Mehrheit der Cordova-basierten Apps, also 5,6% aller Apps in Google Play, gefährdet sind.

Die Lücke liegt in einer Cordova-Funktionalität, in der sekundäre Konfigurationsvariablen (und Preferences) aus Intent Bundles in der Basisaktivität gesetzt werden können. Diese Möglichkeit war Teil einer Codeaktualisierung (auch als Github bekannt), die Apache im November 2010 zusammenmit dem Cordova Android update auf 0.9.3 veröffentlicht hatte.

Die Analyse zeigt, dass falls die Basisaktivität nicht richtig gesichert ist und die Preferences auf Default gesetzt sind, ein Angreifer diese und auch das Aussehen sowie Verhalten der App selbst  ändern kann

Voraussetzungen für einen erfolgreichen Exploit

Es bedarf lediglich zweier Bedingungen, um die Lücke erfolgreich ausnutzen zu können:

  1. Mindestens eine der Komponenten der Applikation als Erweiterung der Basisaktivität: CordovaActivity oder die Konfiguration des Cordova Frameworks wie Config.java ist nicht richtig gesichert, das heißt von außen zugreifbar.
  2. Mindestens eine der von Cordova unterstützten Preferences (außer LogLevel und ErrorUrl) ist nicht definiert in der Konfigurationsdatei config.xml.

Trend Micros Sicherheitsforscher gehen davon aus, dass die Sicherheitslücke leicht auszunützen ist, weill die Bedingungen dafür zu den normale Entwicklerpraktiken gehören. Einzelheiten zur Funktionsweise und auch zu dem Machbarkeitsbeweis liefert der Blogeintrag.

Mögliche Auswirkungen

Zu den möglichen Auswirkungen für Cordova-basierte Apps und deren Nutzer gehören die folgenden:

  1. Ändern des Aussehens der App
  2. Einfügen von Popups und Text
  3. Einfügen von Splash Screens
  4. Modifizieren der Basisfunktionalität
  5. Absturz der App

Nicht nur Tausende von Apps können davon betroffen sein sondern auch Apache Cordova Plugins von Drittanbietern, vor allem wenn deren Funktionalität stark von Preferences abhängig ist.

Lösungen

Android App-Entwicklern ist zu empfehlen, ihr Cordova Framework auf die aktuelle Version 4.0.2 zu updaten und einen Rebuild auf ein neues Release zu erstellen.

 

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.

*