Thought Leadership
Ein Fehler in Android 16 ermöglicht den SMS- und WhatsApp-Versand über Google Gemini ohne PIN-Eingabe. Google verteilt in Kürze ein Sicherheitsupdate.
Google arbeitet an der Behebung einer Sicherheitslücke unter Android 16, durch die unbefugte Personen mit physischem Zugriff auf ein Gerät Kurznachrichten via SMS und WhatsApp versenden können. Der Fehler betrifft die Integration des KI-Assistenten Gemini auf dem Sperrbildschirm. Normalerweise fordert das System den Nutzer zur Eingabe der PIN auf, wenn sensible Funktionen oder externe Apps gestartet werden sollen.
Durch eine fehlerhafte Verarbeitung im System lässt sich diese Barriere jedoch umgehen. Wenn ein Anwender auf dem Display zeitgleich die Schaltfläche zum Fortfahren und die Funktion zum Hinzufügen eines Dateianhangs berührt, unterbleibt die Authentifizierungsprüfung. Das System gibt daraufhin den Zugriff auf den Nachrichtendienst frei, selbst wenn der Zugriff zuvor in den Einstellungen für Gemini gesperrt war.
Weitreichende Zugriffsrechte auf Benutzerdaten
Nach der erfolgreichen Umgehung der Bildschirmsperre über die spezifische Geste können Angreifer nicht nur eigenständig Nachrichten verschicken. Das Problem betrifft das Verhalten bei der Übergabe von Prozessen zwischen der Oberfläche des Sperrbildschirms und den regulären Anwendungen. Über den Fehler lassen sich zuvor entzogene App-Berechtigungen für Gemini eigenständig wieder aktivieren.
Zudem ist es möglich, den Chatverlauf des KI-Assistenten einzusehen oder zu löschen, bestimmte Sicherheitseinstellungen des Smartphones zu modifizieren und lokale Daten zu extrahieren. Der Fehler wurde unter anderem auf einem Google Pixel 6a reproduziert, welches mit den neuesten verfügbaren Softwareaktualisierungen ausgestattet war.
Physischer Zugriff notwendig und temporäre Gegenmaßnahmen
Die Ausnutzung der Schwachstelle setzt zwingend voraus, dass ein Angreifer das Smartphone physisch in Händen hält. Sicherheitsforscher weisen dennoch auf die Risiken bei Diebstählen hin, da die Funktion missbraucht werden könnte, um im Namen des rechtmäßigen Besitzers gefälschte Nachrichten oder Erpressungsschreiben an Kontakte zu senden.
Ein Sprecher von Google bestätigte, dass bereits eine Korrektur für den Softwarefehler entwickelt wurde und die Verteilung des Sicherheitsupdates für die laufende Woche geplant ist. Bis zur Installation des Patches können Anwender das Risiko minimieren, indem sie in den Geräteeinstellungen die Nutzung von Gemini auf dem Sperrbildschirm oder die Erlaubnis für Anrufe und Nachrichten im gesperrten Zustand vollständig deaktivieren.
(red)
