ZFA gefährdet Hacker greifen SMS von Oneplus-Handys ab

Anbieter zum Thema

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Mit einer Reaktion auf eine Warnung zu einer gefährlichen Sicherheitslücke hat Oneplus lange auf sich warten lassen. Ein Patch fehlt bis heute. Dadurch können Cyberangreifer SMS und Zwei-Faktor-Codes abfangen, was mög­lich­erweise Millionen Nutzer gefährdet.

Oneplus-Nutzer aufgepasst: In OxygenOS, dem Android-Betriebssystem des Smartphone-Herstellers findet sich eine Schwachstelle, die es Cyberkriminellen ermöglicht, SMS-Nach­richten abzufangen. Damit können sie auch auf Tokens für die Zwei-Faktor-Authentifizierung (ZFA) zugreifen.

Out-of-bounds-write

Samsung behebt Zero-Day-Sicherheitslücke

Mögliche SQL-Injection

Die Sicherheitsforschen von Rapid7 berichten in einem Blogbeitrag, die Sicherheitslücke CVE-2025-10184 (CVSS-Score 8.2) in den OxygenOS-Versionen 12 bis 15 entdeckt zu haben. Diese ermögliche es jeder auf dem Gerät installierten App, SMS- und MMS-Inhalte sowie die zugehörigen Metadaten des systemeigenen Telephony-Providers ohne Berechtigung, Nut­zer­interaktion oder Zustimmung auszulesen. Der Telephony-Provider ist ein zentraler Android-Dienst, über den Apps mit speziellen Berechtigungen auf SMS- und MMS-Daten des Smart­phones zugreifen können. Durch CVE-2025-10184 sind diese Schnittstellen jedoch ohne Be­rechtigung erreichbar und für SQL-Injection anfällig. Dies ermöglicht es Cyberangreifern, eigene Datenbankabfragen einzuschleusen und dadurch weitere Informationen aus den Datenbanken auszulesen.

Besonders kritisch ist das, weil viele Dienste Einmalcodes für die Zwei-Faktor-Authen­tifizierung per SMS an die Geräte verschicken. Eine manipulierte App könnte solche SMS unbemerkt mitlesen und an die Akteure weiterleiten, womit die Schutzwirkung der SMS-basierten Zwei-Faktor-Authentifizierung nutzlos wäre. Eigenen Angaben zufolge hatte Oneplus im Jahr 2021 über zehn Millionen Smartphones verkauft. Die Zahl der betroffenen Nutzer könnte also enorm groß sein.

Vishing und App-Hacks

FBI warnt vor Angriffen auf Salesforce-Instanzen

Oneplus reagiert nicht

Rapid7 berichtet, dass die Versuche, Oneplus zu kontaktieren, lange erfolglos waren. Zwar ver­füge der Hersteller über ein Bug-Bounty-Programm, Rapid7 habe sich jedoch aufgrund „der restriktiven Bedingungen der Geheimhaltungsvereinbarung“ nicht an dem Programm betei­ligen wollen. Zum ersten Mal hätten die Sicherheitsforscher Oneplus am 1. Mai 2025 kontaktiert und nach weiteren Anfragen hätten sie dann am 3. Juli eine Rückmeldung des Herstellers er­halten. Oneplus würde sich das Anliegen ansehen und an das richtige Team weiterleiten. Nachdem Rapid7 am 24. September denn den Bericht zu CVE-2025-10184 ver­öf­fent­licht hatte, sei eine Antwort vom Sicherheitsteam von Oneplus eingegangen. Darin habe Oneplus die Schwach­stelle bestätigt und mitgeteilt, dass das Problem untersucht werden würde. Derzeit gilt CVE­2025-10184 noch als ungepatcht.

RCE im Web Help Desk

Solarwinds patcht zum dritten Mal kritische Sicherheitslücke

Abhilfemaßnahmen

Bis ein Patch bereitsteht, können sich Nutzer an die Sicherheitsempfehlungen von Rapid7 halten:

• Installieren Sie nur Apps aus vertrauenswürdigen Quellen und entfernen Sie alle nicht unbedingt erforderlichen Apps. Dadurch wird die Gefährdung durch nicht vertrauens­würdige Apps, die diese Berechtigungsumgehung zum Lesen von SMS- oder MMS-Daten nutzen könnten, reduziert.

• Überprüfen Sie, welche Drittanbieterdienste SMS-basierte MFA verwenden, und stellen Sie diese Dienste auf eine Authentifizierungs-App um. Dadurch wird der Versand vertraulicher Informationen per SMS an Ihr Gerät eingeschränkt.

• Für zusätzlichen Datenschutz bei Textnachrichten können Nutzer Ende-zu-Ende-ver­schlüsselte Messenger-Apps anstelle von SMS-basierter Kommunikation verwenden. Da­durch wird der Versand vertraulicher Informationen per SMS an Ihr Gerät eingeschränkt.

• Bei Drittanbieterdiensten, die SMS-basierte Benachrichtigungen versenden, ist es teilweise möglich, auf In-App-Push-Benachrichtigungen umzustellen. Dadurch wird der Versand vertraulicher Informationen per SMS an Ihr Gerät eingeschränkt.

WhatsApp mit Werbung

Zeit für einen anderen Messenger?

(ID:50575523)