Android en iOS blijven kwetsbaar voor FREAK-bug, ondanks patches

Het veiligheidsteam van FireEye publiceerde deze week een onderzoek waaruit blijkt dat nog 1.228 populaire Android-apps in de Play Store van Google kwetsbaar zijn voor een FREAK-aanval. Ook iOS is nog niet veilig.

FREAK is een cryptografische kwetsbaarheid die aanvallers in staat stelt gegevens die reizen tussen een kwetsbare website of besturingssysteem en een server te forceren om een zwakkere versleuteling te gebruiken. Gecombineerd met een man-in-the-middle-aanval kunnen de data theoretisch onderschept en gekraakt worden omdat de gebruiker een lager niveau versleuteling gebruikt dan waarvan hij op de hoogte is.

Volgens het team van FireEye zijn het Android- en iOS-platform sinds 4 maart kwetsbaar voor de bug. Omdat FREAK zowel een platform- als app-kwetsbaarheid is, bestaan de problemen ook na de patches van Google en Apple nog steeds. Wanneer een app verbindt met een server die RSA_EXPORT-sleutels accepteert, kan een hacker als hij wil een aanval uitvoeren.

Onderzoekers Yulong Zhang, Hui Xue, Tao Wei en Zhaofeng Chen hebben de Play Store doorgespit op zoek naar de ernstigheid van de FREAK-bug. Het team scande in totaal 10.985 populaire apps met meer dan een miljoen downloads. Zij kwamen tot de ontdekking dat 11,2 procent – dat is 1.228 apps – nog steeds kwetsbaar zijn voor de bug omdat “ze een zwakke OpenSSL-bibliotheek gebruiken om te verbinden met kwetsbare HTTPS-servers”. In totaal zijn deze apps 6,3 miljard keer gedownload.

Bij iOS komen de onderzoekers tot de conclusie dat 771 van de 14.079 – dat is 5,5 procent – van de populaire apps verbinden met een zwakke dienst en daardoor kwetsbaar zijn voor een FREAK-aanval op iOS-versies onder 8.2. Zeven van deze apps gebruiken een eigen versie van OpenSSL en blijven daarom zelfs op het gepatchte iOS 8.2 kwetsbaar.

[related_article id=”161920″]