Sicherheitsforscher finden drei Schwachstellen in Samsung Knox

Über Samsungs Sicherheitslösung Knox, die eigentlich Android-Geräte vor unbefugten Zugriffen schützen soll, steckt eine Lücke, die ausgenutzt werden kann, um unbefugt auf damit betriebene Geräte zuzugreifen. Die Lücke wird von ihren Entdeckern von der Sicherheitsfirma Viral Security Group als KNOXout bezeichnet und hat die offizielle Kennung CVE-2016-6584. Sie wird als kritisch eingestuft,

Die israelischen Sicherheitsforscher verschafften sich bei ihren Tests “volle Kontrolle” über ein Samsung Galaxy S6 sowie ein Galaxy Note 5. Bevor sie einen Proof of Concept auf GitHub veröffentlichten, hatten sie Samsung informiert. Das Unternehmen behob die drei Schwachstellen, die sich zu der Sicherheitslücke summierten, Wired zufolge mit einem kürzlich ausgelieferten Sicherheits-Update.

Die Sicherheitslücke mit der Kennung CVE-2016-6584 erlaubt es, die Sicherheitslösung Samsung Knox erfolgreich anzugreifen. (Bild: ZDNet.de)

Dem Bericht von Viral Security (PDF) zufolge konnten die Experten über einen Root-Exploit zunächst den Kernel angreifen. Samsung Knox bietet durch das RKP-Modul Schutzmechanismen, um das zu verhindern. Seit Knox 2.0 überwacht die TIMA Real-time Kernel Protection (RKP) das Betriebssystem von der ARM TrustZone aus, um zu verhindern, dass der Kernel manipuliert wird. RKP erfasst dazu sicherheitsrelevante Ereignisse im Kernel. Sie werden in der ARM TrustZone analysiert. Wird erkannt, dass ein Ereignis Auswirkungen auf die Integrität des Kernels hat, soll RKP es entweder stoppen oder ein Bestätigungsprotokoll über eine vorliegende Manipulation an das MDM (Mobile Device Management) senden.

Den israelischen Forschern gelang es jedoch unter Ausnutzung der schon länger bekannten Sicherheitslücke CVE-2015-1805, diesen Schutz zu umgehen. Sie konnten zunächst Code als System-User ausführen. Das erlaubt es beispielsweise schon, legitime Anwendungen durch manipulierte zu ersetzen, die ohne Wissen des Nutzers alle verfügbaren Rechte erhalten.

Darüber hinaus gelang es ihnen herauszufinden, welche Tests das RKP-Modul durchführt. Mit diesem Wissen konnten die Forscher RKP aushebeln und Root-Rechte erlangen. Durch die Abschaltung weiterer Kernel-Schutzmaßnahmen konnten sie schließlich ein eigenes, unsigniertes Kernel-Modul laden und erhielten eine beschreibbare Systempartition.

[mit Material von Bernd Kling, ZDNet.de]



Tipp: Sind Sie ein Android-Kenner? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de

Peter Marwan

Peter Marwan ist Chefredakteur von silicon.de und immer auf der Suche nach Möglichkeiten, wie Firmen den rasanten Fortschritt in der IT-Branche in der Praxis nutzen können. Dabei geht es nicht nur darum, Vorhandenes zu optimieren, sondern vor allem auch um Ansätze und Strategien, mit denen sich neue, durch die IT unterstützte Geschäftsmodellle entwickeln lassen.

Recent Posts

Sophos: Automotive-Lieferant wird dreimal Opfer von Cybererpressern

Innerhalb von rund zwei Wochen kompromittieren die Gruppen LockBit, Hive und BlackCat das Netzwerk. Anscheinend…

4 Stunden ago

Deutsche Telekom bleibt auf Kurs

Konzernumsatz klettert zwischen April und Juni um fast sechs Prozent auf rund 28 Milliarden Euro.

5 Stunden ago

Cisco meldet Hackerangriff

Unbekannte dringen in das Netzwerk des Unternehmens ein. Zuvor hacken sie das Google-Konto eines Cisco-Mitarbeiters…

6 Stunden ago

Im Blindflug in Richtung Nachhaltigkeit

Eine Mehrheit der deutschen Unternehmen will klimaneutral werden. Aber wie? Für eine Antwort fehlen ihnen…

20 Stunden ago

Unternehmen unterschätzen Cyberrisiken durch vernetzte Partner und Lieferanten

Firmen stufen Sicherheitsrisiken ihrer Partner in digitalen Ökosystemen und Lieferketten als wenig besorgniserregend ein.

20 Stunden ago

Silicon DE im Fokus Podcast: Microsoft und der Mittelstand

Im Silicon DE Podcast erläutert Oliver Gürtler, Leiter des Mittelstandsgeschäfts bei Microsoft Deutschland, im Gespräch…

23 Stunden ago