HTC Smartphones: Lücke kann WLAN-Logins leaken

Zitat

Eine Reihe von Smartphones des taiwanischen Herstellers HTC sind von einer Sicherheitslücke betroffen, die dafür sorgt, dass ein Angreifer sich die Zugangsdaten zu den mit den Geräten genutzten drahtlosen Netzwerken verschaffen kann.
Das US-CERT (United States Computer Emergency Readiness Team) warnt vor der Schwachstelle in einigen von HTC bei seinen Smartphones verwendeten Android-Versionen und beruft sich dabei auf Angaben des Sicherheitsexperten Bret Jordan, die dieser in seinem Weblog veröffentlicht hat.

Jordan zufolge kann ein Angreifer bei den betroffenen Android-Builds die Passwörter von 802.1x WLAN-Netzen mit Hilfe einer speziellen App abgreifen. Bei den Geräten ist der Zugriff auf die SSID der mit ihnen genutzten WLAN-Zugangspunkte und die dazugehörigen Nutzernamen und Passwörter möglich. Dazu benötigt eine Anwendung lediglich grundlegende Privilegien zum Zugriff auf den WLAN-Status des Telefons.
Hat die jeweilige App auch noch ausreichende Rechte, um auf das Internet zuzugreifen, kann sie die gesammelten Daten an Dritte weiterleiten. Gerade bei Firmennetzwerken kann dies zu einem Sicherheitsrisiko werden, da sich Angreifer auf diese Weise Zugang verschaffen könnten.
Laut dem US-CERT sind folgende Telefone und Android-Builds betroffen:

• Desire HD (Board-Revisionen "ace" und "spade" gleichermaßen betroffen) - Versionen FRG83D, GRI40
• Glacier - Version FRG83
• Droid Incredible - Version FRF91
• Thunderbolt 4G - Version FRG83D
• Sensation Z710e - Version GRI40
• Sensation 4G - Version GRI40
• Desire S - Version GRI40
• EVO 3D - Version GRI40
• EVO 4G - Version GRI40

HTC und Google haben laut Jordan an der Beseitigung der Schwachstelle mitgearbeitet. Der Smartphone-Hersteller hat offenbar bereits mit der Verteilung eines entsprechenden Updates an die Besitzer der betroffenen Geräte begonnen. Auf der Website des Unternehmens wird angekündigt, dass man in der nächsten Woche weitere Informationen und einen manuellen Download eines Sicherheitsupdates bereitstellen will.

Google hat bereits die im Android Market verfügbaren Apps überprüft und bisher sind keine Anwendungen aufgetaucht, die versuchen, die Schwachstelle auszunutzen.

Quelle