Schwachstelle in Googles Bezahldienst Wallet

[Christoph]

Google lässt Kunden wieder mit Wallet zahlen

Google hat die Guthaben-Karten seiner Wallet-Kunden wieder freigeschaltet, wie das Unternehmen berichtet. Auch neue Karten werden laut Google wieder ausgestellt. Das Unternehmen hatte sein Kartensystem gesperrt, nachdem bekannt worden war, dass sich die PIN-Sperre der Wallet-App leicht umgehen ließ – vorausgesetzt, auf dem Smartphone war kein weiterer Zugriffsschutz (etwa ein Passcode) aktiv.

Es reichte aus, die App über das Einstellungsmenü zurückzusetzen, um eine neue PIN setzen und über das Guthaben der Wallet-Karte verfügen zu können. Google hat das Problem auf radikale Weise gelöst: Nach dem Zurücksetzen der App erhält man beim Zugriff auf die Wallet-Karte nun nur noch eine Fehlermeldung, wie The Verge berichtet. Vermutlich hat Google dazu Änderungen an den Servern vorgenommen. Ein Update der Wallet-App ist dazu anscheinend nicht erforderlich.

Unterdessen hat sich herausgestellt, dass ein weiteres Sicherheitsproblem offensichtlich kritischer ist, als zunächst von Google angenommen. Ein Sicherheitsforscher hatte demonstriert, wie man die vom Anwender gesetzte Wallet-PIN auslesen kann, ohne die App zurückzusetzen – dadurch hat man Zugriff auf alle mit der App verknüpften Bezahlmittel.

Einzige Voraussetzung hierfür ist, dass man sich auf dem Gerät Root-Rechte verschafft ("rooten"). Google hat daraufhin argumentiert, dass man von der Nutzung der Wallet-App auf gerooteten Geräten ohnehin abrate. Außerdem würden die Daten der Wallet-App in der Regel durch das Rooten gelöscht – etwa bei dem Versuch, ein unmodifiziertes Gerät zu entsperren, um die PIN anschließend auszulesen.

Der Sicherheitsforscher hat nun nachgelegt und sein Angriffsszenario auf "ungerootete" Geräte ausgeweitet. Durch das Ausnutzen einer bekannten Sicherheitslücke im Android zugrunde liegenden Linux-Kernel gelingt es ihm, ohne Datenverlust Root-Rechte zu bekommen. Hierauf hat Google bislang nicht reagiert. (rei)

Quelle: http://www.heise.de/newsticker/meldu...n-1434649.html