Android Browser: Sicherheitslücke in allen Versionen vor Android 4.4 KitKat gefährdet die Privatsphäre

Im Standard-Browser des Android Open Source Projects (AOSP) sorgt ein Fehler für eine Sicherheitslücke. Angreifer können diese für Zugriff ausnutzen und alle offenen Tabs und Cookies auslesen. Betroffen sind alle Versionen der Anwendung vor Android 4.4 KitKat.

Viele Anwender setzen auch beim Surfen auf dem Smartphone oder Tablet auf Google Chrome, Mozilla Firefox, Opera oder einen anderen Browser eines Drittanbieters. Der AOSP-Browser ist auf viele Geräten aber der Standard-Browser, und Android-Versionen vor 4.4 KitKat beanspruchen noch rund 75 Prozent Marktanteil.

Diese Geräte mit einer AOSP-Browser-Version vor 4.4 KitKat sind für eine Javascript-Sicherheitslücke anfällig. Mithilfe präparierter Internetseiten können Angreifer die sogenannte Same Origin Policy umgehen, eine Sicherheitsfunktion, welche die Manipulation von Internetseiten untereinander mithilfe von Skriptsprachen verhindern soll.

Von der Schwachstelle betroffene Browser gewähren Zugriff auf alle geöffneten Tabs und Fenster und ihre Inhalte sowie auf die Session-Cookies, mit denen das Abfangen und die Übernahme einer Sitzung möglich sind.

Betroffene Nutzer können sich auf einfache Weise vor dem Problem schützen und einen anderen Browser verwenden. Der Fehler ist bereits seit dem 1. September 2014 bekannt und der Entdecker hat Google davon in Kenntnis gesetzt. Vom Unternehmen gibt es bislang keine Stellungnahme zur Sicherheitslücke. Google selbst pflegt den AOSP-Browser nicht mehr.

Quelle: Rapid 7