Aufgepasst! Diese Android-Tastatur-Apps mit 2 Millionen Installationen können aus der Ferne gehackt werden

Mehrere ungepatchte Sicherheitslücken wurden in drei Android-Apps entdeckt, die es ermöglichen, ein Smartphone als Remote-Tastatur und -Maus zu verwenden.

Bei den betroffenen Apps handelt es sich um Lazy Mouse, PC Keyboard und Telepad, die insgesamt über zwei Millionen Mal aus dem Google Play Store heruntergeladen wurden. Telepad ist nicht mehr über den App-Marktplatz erhältlich, kann aber von seiner Website heruntergeladen werden.

• Faule Maus (com.ahmedaay.lazymouse2 und com.ahmedaay.lazymousepro)
• PC-Tastatur (com.beapps.pckeyboard)
• Telepad (com.pinchtools.telepad)

Während diese Anwendungen funktionieren, indem sie eine Verbindung zu einem Server auf einem Desktop herstellen und Maus- und Tastaturereignisse an diesen übertragen, fand das Synopsys Cybersecurity Research Center (CyRC) nicht weniger als sieben Schwachstellen im Zusammenhang mit schwacher oder fehlender Authentifizierung, fehlender Autorisierung und unsicherer Kommunikation.

Die Probleme (von CVE-2022-45477 bis CVE-2022-45483) könnten, kurz gesagt, von einem böswilligen Akteur ausgenutzt werden, um beliebige Befehle ohne Authentifizierung auszuführen oder vertrauliche Informationen zu sammeln, indem die Tastenanschläge der Benutzer im Klartext offengelegt werden.

Der Lazy Mouse Server leidet außerdem unter einer schwachen Passwort-Policy und implementiert keine Ratenbegrenzung, was es entfernten, nicht authentifizierten Angreifern ermöglicht, die PIN auf triviale Weise zu erzwingen und beliebige Befehle auszuführen.

Es ist erwähnenswert, dass keine der Apps seit mehr als zwei Jahren Updates erhalten hat, so dass die Benutzer die Apps unbedingt mit sofortiger Wirkung entfernen sollten.

„Diese drei Anwendungen sind weit verbreitet, werden aber weder gewartet noch unterstützt. Offensichtlich wurde bei der Entwicklung dieser Anwendungen nicht auf Sicherheit geachtet“, so Mohammed Alshehri, Sicherheitsforscher bei Synopsys.

Fanden Sie diesen Artikel interessant? Folgen Sie uns auf Twitter und LinkedIn, um weitere exklusive Inhalte von uns zu lesen.

Einige Teile dieses Artikels stammen aus:
thehackernews.com