Fr. 26. April 2019 um 8:22

Qualcomm: Schwerwiegende Sicherheitslücke gibt Passwörter preis

von Yves Jeanrenaud1 Kommentare

Die Common Vulnerability and Exposure CVE-2018-11976 bezeichnet ein Sicherheitsproblem mit dem Qualcomm Secure Execution Environment (QSEE), dem Bereich der Chips des berühmt-berüchtigten Herstellers, der mittlerweile in fast allen Smartphones und Tablets die Rechenarbeit leistet. Dieser Bereich, der QSEE, ist auf Hwardware-Ebene von den übrigen Operationsbereichen des System-on-Chip (SoC) abgetrennt und zuständig für die Verarbeitung und vor allem Speicherung von kryptographischen Schlüsseln oder biometrischen Informationen. Fingerabdrücke, Passwörter und auch die Gesichtserkennung werden genau dort abgelegt und sollen so geschützt vor Zugriffen durch das Betriebssystem oder eben Malware liegen.


QSEE

Die Schwachstelle der Qualcomm-Chips unter der Kennung CVE-2018-11976 ist schon seit März vergangenen Jahres bekannt. Damals hatte Keegan Ryan, Sicherheitsforscher bei NCC, herausgefunden, dass Schlüssel aus Qualcomms TrustZone stehlen kann. Eben aus einem Teil der QSEE, auf den nur vertrauenswürdige Prozesse, die mit einem entsprechenden Schlüssel kompiliert und ausgestattet wurden, Zugriff haben sollten. Dazu wird eine Sidechannel-Attacke unter root-Rechten auf den Cache gefahren.  Laut Qualcomm sind folgende Chipsätze betroffen:

  • IPQ8074
  • MDM9150
  • MDM9206
  • MDM9607
  • MDM9650
  • MDM9655
  • MSM8909W
  • MSM8996AU
  • QCA8081
  • QCS605
  • Qualcomm 215
  • SD 210/SD 212/SD 205
  • SD 410/12
  • SD 425
  • SD 427
  • SD 430
  • SD 435
  • SD 439 / SD 429
  • SD 450
  • SD 615/16/SD 415
  • SD 625
  • SD 632
  • SD 636
  • SD 650/52
  • SD 712 / SD 710 / SD 670
  • SD 820
  • SD 820A
  • SD 835
  • SD 845 / SD 850
  • SD 8CX
  • SDA660
  • SDM439
  • SDM630
  • SDM660
  • Snapdragon_High_Med_2016
  • SXR1130

Das Sicherheitsproblem nimmt somit ähnliche Ausmasse an, wie damals bei Intel Spectre und gerade in Anbetracht der Tatsache, dass Chipsets bis zurück zum Snapdragon 210 betroffen sind, ist diese CVE verherend. Das Whitepaper dazu wurde nunmehr veröffentlicht. Qualcomm hat auch bereits reagiert und einen Patch zur Verfügung gestellt, aber wir uns ansehen, wie langsam schon Sicherheits-Updates von Googles Betriebssystem Android verteilt werden, ist absehbar, das auch in fernerer Zukunft kaum nennenswert viele Geräte mit Updates versorgt sein werden.

QSEE – Ein rein theoretisches Sicherheitsproblem?

Aber Moment, braucht man nicht sowieso root unter Android, um diese Sicherheitslücke auszunutzen? Richtig. Das Whitepaper von NCC gibt an, dass dies für die beschriebene Attacke erforderlich ist. Aber wir wissen ja leider von genügend Malware auf dem mobilen Betriebssystem Android, die in der Lage war und ist, sich unbemerkt root zu verschaffen und auszunutzen. Von den grossen Smartphone-Herstellern, Huawei, Samsung und so weiter, ist bisher noch nichts verlautbart worden.

Wir sind also gespannt und wer einen der betroffenen Qualcomm-Chipsätze im Gerät hat, ist vermutlich gut beraten, auf Fingerabdruck-Scanner und ähnliches zu verzichten sowie dem Smartphone nicht zu viel wichtige Daten anzuvertrauen, bis der Patch implementiert und ausgeliefert wurde.

 

 

Quelle: Qualcomm (Englisch), NCC (Englisch)

Das könnte Sie auch interessieren

Eine Antwort zu “Qualcomm: Schwerwiegende Sicherheitslücke gibt Passwörter preis”

  1. Ltd Duke sagt:

    Ich lach mich scheckig, das L950 ist sicher.

Schreibe einen Kommentar

Teilen