News Fortnite Android: Google entdeckt Schwachstelle im Installer

[Che-Tah]

Unternehmen die Sicherheitslücken veröffentlichen, gehören genauso bestraft wie Entwickler für Trojaner und Viren. Wem soll die Veröffentlichung denn helfen? Dem Abschaum des Internets?

Sollen Sie es wie in der Vergangenheit nur der NSA melden und nicht beheben?
Ohne öffentlichen Druck wären viele Sicherheitsstandards erheblich schlechter. Google hat viel mehr zu verlieren... aber was juckt es Epic falls Mio Handys gehackt werden.

 

[anyone23]

Ich finde diese "Sicherheitslücke" künstlich und konstruiert.

Ja, für mich klingt es auch so, als könnte man diese "Lücke" nur ausnutzen wenn man das Gerät bereits unter seiner Kontrolle hat. Trotzdem natürlich gut, dass der Fehler nun behoben ist.

 

[Marcel55]

Würde mich nicht wundern wenn Google die APK Installationen außerhalb des PS komplett deaktiviert...

Kommt nicht in Frage.
Wir sind doch hier nicht bei Apple. Ich schätze Android gerade wegen solcher Modifikationsmöglichkeiten.

 

[DeusoftheWired]

Unternehmen die Sicherheitslücken veröffentlichen, gehören genauso bestraft wie Entwickler für Trojaner und Viren.

Man mag ja von Google halten, was man will, aber ohne Druck bekommt man manche Hersteller einfach nicht dazu, Aktualisierungen für ihre Soft- oder Hardware zu veröffentlichen. In einem besonders krassen Fall hat ein Hersteller von Herzschrittmachern (!) selbst 18 Monate (!) nach Einsenden der Lücke durch den Entdecker nichts getan.

https://www.heise.de/security/meldu...ittmacher-laesst-Hersteller-kalt-4133625.html

 

[I'm unknown]

@DeusoftheWired Ist doch vollkommen egal, die Lücke nutzt doch eh keiner .

 

[iSight2TheBlind]

Praktisch jeden App hat Zugriff auf den externen Speicher. Musikapps, Dateimanager, Bildergalerien und sämtliche Cleanup Tools usw. Ist neben Internetzugriff die häufigste Zugriffsberechtigung von Apps... Zumal es darum geht dass die manipulierte APK konkret nach der Installation mittels Galaxy Store alle Zugriffsrechte hat die Fortnite einfordert.
Anhang anzeigen 703986

Alter!
Das sind die Berechtigungen die Fortnite auf Android fordert?
Da liegt bereits das erste Problem, denn wenn Fortnite nur die Berechtigungen einfordern würde die für die Nutzung des Spiels wirklich notwendig sind bestünde gar keine Gefahr einer Manipulation, da die manipulierende App eh bereits mehr Berechtigungen hätte als Fortnite.

Fangen wir mit den einfachen Dingen an: Auf iOS fordert die App keinen Zugriff auf SMS, Storage und Telephone, da sie das garnicht kann und Apps auf diese drei Dinge garnicht zugreifen können.
Klar, sie schreibt natürlich ihre Daten auf den Speicher, aber eben nur in ihre private Sandbox und damit kann weder Fortnite andere Apps manipulieren noch andere Apps Fortnite.

Camera und Location fordert Fortnite überhaupt nicht an und ich kann mir auch nicht vorstellen warum das Spiel darauf Zugriff haben sollte. Informationen zum Standort für das Matchmaking bekommt das Spiel serverseitig eh über die IP.

Zugriff auf das Mikrofon kann das Spiel für den integrierten Voicechat auf iOS anfordern und das ist natürlich auch eine sinnvolle Benutzung einer Berechtigung, allerdings fordert das Spiel das auf iOS auch erst dann (mit einer Anfrage in einem System-Popup) an, wenn man das Feature wirklich in den Optionen des Spiels aktiviert.
Da ich keinen Sprachchat aktiviert habe taucht das Spiel bei mir nirgendswo in den Privatsphäreeinstellungen (entspricht einer Berechtigungsverwaltung) meines iPhone auf.

Wenn eine andere APP irgendetwas in einen fremden Installer einschleusen kann dann hat das OS ein Problem und nicht der Pipifax Installer.

Wie G00fY schreibt liegt die Datei im frei für alle zugänglichen Speicher des Gerätes, nachvollziehbarerweise weil das beispielsweise eine SD-Karte sein kann und dort bei Geräten mit kleinem integrierten Speicher (dort ist das Spiel noch nicht verfügbar, langfristig wird es jedoch auch dort erscheinen) am ehesten Platz ist.

Und der bedeutsame Punkt an "frei für alle zugänglichem Speicher" ist, dass er eben frei für alle zugänglich ist.
Das kann das OS nur verhindern wenn es im Prinzip jede Anwendung sandboxed und es keinen frei für alle zugänglichen Speicher mehr gibt.
Nur dann ist man schnell wieder bei der von dir kritisierten "verdongelte Consumer Hardware", denn wenn Apps keinen gemeinsamen zentralen Speicher nutzen können oder auf den Speicher von anderen Apps zugreifen können fallen eben viele "offene" Funktionen weg.
Simples Beispiel: Auf iOS sind Virenscanner-Apps witzlos, da dort jede App in einer Sandbox läuft und weder "Viren" noch Virenscanner Zugriff auf andere Apps haben, die sie infizieren bzw. scannen wollen/könnten.

 

[gesperrter_User]

erfolglos wie bei Pokémon GO

Gebracht hat es wenig: Fast 2 Millarden $ Umsatz seit Realease, 70 Millionen Umsatz alleine im Juni.

 

[Rodger]

Habe ich nicht die Tage noch gelesen wie völlig unnütz Google Protect IST ?
Klar ist das hier eine abartig billige Retourkutsche, das man mit Fortnite am Playstore vorbei geht und offenbart die billigen manipulativen Strategien, die Google immer wieder gegen Konkurrenz ausübt.
Im Playstore wäre die App keinen Deut sicherer. Hier ist es "nur" eine Sicherheitslücke, im Playerstore findet Google selbst nicht mal Schadprogramme *abwink*

 

[Thor9]

Hi,

falls es jemand interessiert... die Meldung von Google

Fortnite Installer downloads are vulnerable to hijacking

Und auch die Abhilfe steht dort.

Using a private internal storage directory rather than external storage would help avoid this vulnerability

Und wer meint, Google wird eine App die abseits des PlayStores vertrieben wird nicht prüfen... (Gerade bei dem Bekanntheitsgrad)

Schönen Sonntag noch..

 

[112211]

Was verdient der Anbieter denn weniger respektive Google mehr, wenn man den Dreck einfach nicht kostenlos sondern wieder zum Vollpreis ohne Mikrotransaktionsglücksspiel anbieten würde? Ich würde fast behaupten, dass auch die Aufmachung des PlayStores diesen Wahnsinn fördert.

 

[chithanh]

Würde mich nicht wundern wenn Google die APK Installationen außerhalb des PS komplett deaktiviert...

Was macht Epic dann? Freiwillig auf den Profit verzichten wenn auch 30% an Google gehen?

Das ist es, was Epic bei Apple macht: hier akzeptieren sie die 30% weil es keinen einfachen Weg gibt, Apps auf iOS-Geräte zu sideloaden. Das sendet natürlich fatale Signale an Google: Vernagelt eurer Android wie iOS, und es gibt 30% von uns.

Klar, in der Vergangenheit wurden doch Lücken niemals nicht gefixt wenn kein Veröffentlichung da war. Genauso wie Ostern der Osterhase und Weihnachten der Weihnachtsmann kommt.

So ist es. Viele Hersteller scheuen die negative Publicity, und ließen sich ohne Veröffentlichung bzw. deren Androhung teilweise lange Zeit.
https://www.schneier.com/essays/archives/2007/01/schneier_full_disclo.html

Unternehmen die Sicherheitslücken veröffentlichen, gehören genauso bestraft wie Entwickler für Trojaner und Viren. Wem soll die Veröffentlichung denn helfen? Dem Abschaum des Internets?

Im Gegenteil. Die Geheimhaltung von Sicherheitslücken hilft den Unternehmen, die unsichere Produkte vertreiben. Sie schadet den Nutzern, die unwissentlich unsichere Produkte einsetzten.

Andersrum hilft die Veröffentlichung von Sicherheitslücken bei der Einschätzung, ob es sich um ein sicheres Produkt handelt oder nicht. Dieser üble Anfängerfehler den Epic sich hier geleistet hat sollte misstrauisch machen.

 

[FFelsen2000]

Offensichtlich hast du keinerlei Ahnung und willst einzig ein bisschen Google bashen.

Da ist aber jemand empfindlich. Persönliche Gründe? Es ist doch eine schlichte Festellung, dass diese Sicherheitslücke vorraussetzt, dass die Malware bereits auf dem Gerät ist.
Es würde noch nicht mal genügen, dass der PC kompromittiert ist - die Malware muss auf dem Handy sein.

 

[anexX]

Hier wollte Google Epic eindeutig eins auswischen, als kleiner Seitenhieb dafür dass sie den Playstore umgehen.

Ich denke es ging Google primär darum hier gegenüber zukünftigen Kunden aufzuzeigen das die 30% die man investiert nicht "aus dem Fenster geschmissen" sind, sondern das man dafür eine Gegenleistung erhält die einem geschäftsschädigende, wenn nicht sogar projektgefährdende Negativschlagzeilen erspart.

 

[OTM-Offline]

Eine Sache ist mir leider immer noch nicht klar geworden:

Mit welcher Argumentation kommuniziert man Sicherheitslücken bei Fremdsoftware, die zu diesem Zeitpunkt nicht mehr existieren?
Gerade in diesem Fall ist doch eine Neu-Installation mit einem alten Installer ziemlich unrealistisch und die Lücke bezieht sich nur auf den Installationsprozess und nicht auf das installierte Programm.

Das klingt alles schon sehr seltsam und lässt berechtigte Zweifel aufkommen, dass es hier um das Wohl der Anwender geht.

Ich bin mir ehrlich gesagt auch nicht ganz sicher, ob sich Google hier nicht sogar selbst schaden könnte.
Wenn Epic aufgrund fehlender Abhängigkeiten sowieso nichts weiteres zu befürchten hat, dann könnten sie auch Geld in die Hand nehmen und ein Team von IT-Sicherheitsexperten darauf ansetzen gezielt nach Sicherheitslücken in allen Versionen von Chrome, Chrome OS und Android zu suchen.
Wenn man diese im Wochenrhythmus veröffentlicht, dann führt das sicherlich auch zu sehr schlechter PR für Google, die nachhaltigen Schaden anrichten könnte.

 

[Turrican101]

Und dieser Fehler ist irgendwie von Belang? In den meisten Fällen sollten nur ein paar Sekunden zwischen runterladen und Installieren liegen...

 

[corvus]

Ich bin mir ehrlich gesagt auch nicht ganz sicher, ob sich Google hier nicht sogar selbst schaden könnte.
Wenn Epic aufgrund fehlender Abhängigkeiten sowieso nichts weiteres zu befürchten hat, dann könnten sie auch Geld in die Hand nehmen und ein Team von IT-Sicherheitsexperten darauf ansetzen gezielt nach Sicherheitslücken in allen Versionen von Chrome, Chrome OS und Android zu suchen.

Stimmt, zu Lücken in Google Produkten wurde noch nie recherchiert, da muss erst Epic ein Team anheuern....

Abgesehen davon hat Google richtig gehandelt. Zum Einen als Werbung für den Store (ich will nicht, dass es wie bei Apple wird, und man keine Möglichkeit zum normalen Sideloading hat), zum Anderen auch im normalen Eigeninteresse. Gäbe es eine leicht ausnutzbare Lücke, würde das ganze eher als Google ("unsicheres" OS) als auf Epic zurückfallen.

Und generell sollte auf jede solcher Sicherheitslücken aufmerksam gemacht werden, egal bei welchem Hersteller. Damit eben jene unter Zugzwang geraten.

 

[Teiby]

Um die APK zu überschreiben, muss schon eine "böse" App installiert sein. Wieso sollte diese App noch eine "böse" App installieren?

 

[Laggy.NET]

Wie jetzt? Apps, denen man Zugriff auf die Speicherkarte gibt, oder direkt auf die Speicherkarte installiert, um den zusätzlichen Speicher zu nutzen, können die komplette Karte auslesen und/oder auf Daten anderer Apps auf der Speicherkarte zugreifen und diese modifizieren, ohne dass ich das nochmal extra freigeben muss? Oder werden die Daten verschlüsselt, so dass sie nur von den jeweiligen Apps lesbar sind?

Sorry, aber wenn das wirklich so funktioniert, ist Android failure by design.

 

[G00fY]

Den externe Speicher teilen sich alle Apps und er ist zum Ablegen von Dateien wie Fotos oder Audio etc. gedacht. Eben nicht um dort Executables wie APKs zwischenzuspeichern und automatisiert aufzurufen wie es Epic gemacht hat. Andere Apps können theoretisch eine APK überschreiben/ersetzen nachdem diese in den externen Speicher runtergeladen wurde. Das hat nichts mit failure by design zu tun.
Über den "Install-Button" im Installer sollte man aber ja davon ausgehen können, dass in jedem Fall die richtige APK installiert wird. Das ist nur sichergestellt wenn der private Speicher des Installers genutzt wird, da auf diesen einzig der Installer Zugriff hat. Ganz einfach.

 

[mischaef]

Klar, in der Vergangenheit wurden doch Lücken niemals nicht gefixt wenn kein Veröffentlichung da war. Genauso wie Ostern der Osterhase und Weihnachten der Weihnachtsmann kommt.

Es gibt genügend Fälle, bei denen sich Unternehmen sehr viel Zeit haben verstreichenlassen und (nicht selten bis zu einem Jahr) und sind dann erst aktiv geworden, als die Lücke an die Öffentlichkeit gekommen ist.