Sicherheitsanfälligkeit in der Skype-App für Android ermöglicht Zugriff auf Telefon-Daten ohne einen Passcode

Ein Designfehler in der Android-Version der Skype-App ermöglicht es, das Telefon ohne Passwort zu entsperren.

Ein Bugjäger hat eine Schwachstelle in der Android-Version der Skype-App von Microsoft entdeckt, die ausgenutzt werden kann, um auf mehrere App-Funktionen zuzugreifen, ohne die Passcode-Authentifizierung zum Entsperren des Telefons einzugeben.

Der in Kosovo ansässige Bug-Hunter Florian Kunushevci, der die Sicherheitsanfälligkeit entdeckte, demonstrierte den Umgehungsmechanismus in einem YouTube-Video (siehe unten). Das Video zeigt, dass jeder, der im Besitz des Handys einer Person ist, einen Skype-Anruf empfangen und diesen beantworten kann, ohne das Gerät zu entsperren.

Sobald die Person den Anruf annimmt, kann sie Fotos anzeigen, auf Kontakte zugreifen, eine Nachricht senden und den Browser öffnen, indem sie auf die in der Nachricht gesendeten Links klickt. All diese Aktionen können durchgeführt werden, ohne das Telefon entsperren zu müssen.

Kunushevci, der ein regelmäßiger Nutzer der Skype-App für Android ist, entdeckte, dass etwas nicht stimmte mit der Art und Weise, wie die App auf lokale Dateien des Handys zugreift, während sie VoIP-Anrufe tätigt.

„Eines Tages hatte ich das Gefühl, während ich die App benutzte, dass es notwendig sein sollte, ein Teil zu überprüfen, das mir andere Optionen zu geben scheint, als es sollte,“ erklärte er gegenüber The Register. „Dann musste ich meine Denkweise als regulärer Benutzer in etwas ändern, das ich für Ausnutzung verwenden kann.“

Der Forscher stellte fest, dass beim Entgegennehmen eines Skype-Anrufs mehrere Funktionen der Telefonanwendung, wie das Teilen von Fotos und das Nachschlagen von Kontakten, unabhängig davon, ob das Telefon gesperrt war oder nicht, zugänglich waren. Mit anderen Worten, die Sicherheitsanfälligkeit ermöglicht es jedem, auf die Foto- und Kontaktfunktionen zuzugreifen, ohne zu prüfen, ob die Person, die das Gerät nutzt, authentifiziert ist.

Ganz ähnlich wie die zahlreichen iOS-Schwachstellen, die im Laufe der Jahre im System gefunden wurden, ist diese Sicherheitsanfälligkeit auf ein kleines Versäumnis in der Systemsicherheit zurückzuführen. Kunushevci sagte: „Für den spezifischen Fehler, den ich bei Skype gefunden habe, handelt es sich eher um eine schlechte Gestaltung und auch um einen Fehler im Code. Ich denke, um alles zusammenzufassen: Menschen machen Fehler.

Kunushevci meldete die Sicherheitsanfälligkeit im Oktober an Microsoft, bevor er sie der Öffentlichkeit offenbarte. Offensichtlich wurde die Schwachstelle in der am 23. Dezember 2018 veröffentlichten Version von Skype behoben, die sicher zu verwenden ist.

Es wird empfohlen, dass Benutzer die neueste Version der Skype-App für Android installieren oder aktualisieren, um eine bessere Sicherheit zu gewährleisten, da diese Schwachstelle Skype auf allen Android-Versionen betrifft. Bitte beachten Sie, dass der Patch für diesen Fehler in allen Build-Versionen der Skype-App mit einer Versionsnummer über 8.15.0.416 für verschiedene Android-Versionen enthalten ist.

Microsoft hat bislang keine offizielle Stellungnahme zu dem Thema abgegeben.