Google vindt beveiligingslek in installatieproces Fortnite

[Captain Kirk]

Onderzoekers van Google hebben in het installatieproces van het populaire spel Fortnite een beveiligingslek ontdekt waardoor kwaadaardige apps stilletjes malware hadden kunnen installeren. Fortnite heeft wereldwijd meer dan 125 miljoen spelers en onlangs verscheen er ook een Androidversie.

De Android-versie wordt echter niet via Google Play aangeboden. Gebruikers moeten dan ook eerst een belangrijke beveiligingsmaatregel uitschakelen om het spel te kunnen installeren. De installer-app van Fortnite downloadt en installeert uiteindelijk het gehele spel. De eerste versie van dit installatieprogramma bevatte echter een kwetsbaarheid. Hierdoor had een kwaadaardige app die al op het systeem van de gebruiker geïnstalleerd stond een kwaadaardig APK-bestand via de Fortnite-installer kunnen laten installeren.

In het geval van Samsung-toestellen zou de installatie van dit kwaadaardige APK-bestand zonder interactie of medeweten van de gebruiker hebben plaatsgevonden. De enige vereiste voor de al aanwezige kwaadaardige app was dat die over leespermissies voor de externe opslag moest beschikken. XDA laat weten dat alleen in het geval van Samsung-toestellen het kwaadaardige APK-bestand stilletjes in de achtergrond kon worden geïnstalleerd.

Bij andere Android-toestellen zorgde de Fortnite-installer alleen voor een zogeheten "man-in-the-disk-aanval" en zou de installatie van de kwaadaardige app wel zichtbaar zijn geweest. Google informeerde spelontwikkelaar Epic op 15 augustus en binnen 2 dagen was er een update beschikbaar. Gebruikers krijgen het advies om de Fortnite-installer te updaten naar versie 2.1.0 of later, zo meldt Android Central.

 

 

bron: security.nl

[Captain Kirk]

Fortnite-ontwikkelaar hekelt Google over publicatie lek

 

De ontwikkelaar van het populaire spel Fortnite heeft uitgehaald naar Google wegens het openbaar maken van een beveiligingslek in het installatieprogramma van Fortnite voor Android. Fortnite is één van de populairste games van het moment met 125 miljoen spelers wereldwijd.

Onlangs verscheen de versie voor het Androidplatform. Deze versie wordt echter niet via Google Play aangeboden, maar via een installatieprogramma dat spelontwikkelaar Epic Games zelf aanbiedt. Dit installatieprogramma downloadt en installeert het spel. Google maakte afgelopen vrijdag bekend dat er een kwetsbaarheid in het installatieprogramma aanwezig is dat een al kwaadaardige app op het Androidtoestel kan gebruiken om malware te installeren.

Na te zijn ingelicht door Google kwam Epic Games met een update. "we hebben Google gevraagd om met het openbaar maken van de kwetsbaarheid te wachten totdat de update door meer gebruikers was geïnstalleerd. Dat hebben ze geweigerd, wat voor een onnodig risico voor Androidgebruikers zorgde om goedkope PR-punten te scoren", aldus Tim Sweeney, oprichter en directeur van Epic Games, op Twitter.

Google informeerde Epic op 15 augustus. Twee dagen later was er een update beschikbaar om de kwetsbaarheid te verhelpen. Deze update wordt alleen geïnstalleerd als gebruikers het installatieprogramma starten of het spel spelen. Een week later maakte Google de kwetsbaarheid bekend, inclusief technische details. Epic Games had gevraagd om 90 dagen met de openbaarmaking te wachten, maar dat verzoek werd geweigerd.

Sweeney zegt dat hij Google dankbaar is voor het vinden en melden van de kwetsbaarheid. Hij heeft echter moeite met de snelle openbaarmaking van de technische details. "Dat doet niets anders dan hackers een kans geven om ongepatchte gebruikers aan te vallen", aldus Sweeney. Google zou echter de installatie van Fortnite op Android monitoren en hebben gezien dat er niet veel kwetsbare installatieprogramma's actief zijn.

 

 

bron: security.nl