Sicherheit

Chromecast und Google Home leaken Standortdaten: Update erst Mitte Juli

Die Google-Geräte Chromecast und Google Home erlauben eine umfassende Standortabfrage über manipulierte Webseiten. Google plant ein Update: bis Mitte Juli.

© Gajus / shutterstock.com

© Gajus / shutterstock.com

Google arbeitet derzeit an einem Update für seine Streaming-Geräte Chromecast und den Smart-Speaker Google Home. Die Firma Tripwire hat eine Sicherheitslücke in beiden Geräten ausgemacht, mit der Angreifer detaillierte Standortinformationen über ihr Opfer erlangen können. Eine Schwäche bei der Geräte-Autorisierung erlaubt einer präparierten Webseite – das kann auch einfache Werbung oder nur ein manipulierter Tweet sein – eine Liste aller verfügbaren WLANs in der Nähe anzuzeigen und diese an Googles Standortdienst zu leiten.

Googles Standortdienst funktioniert deutlich genauer als beispielsweise das Tracking über eine IP-Adresse. Eine Standortabfrage über die IP-Adresse gibt Angreifern lediglich eine Region mit einem Radius von wenigen Kilometern, in der sich das Opfer befindet. WLAN-Daten und feste Positionen, die Google verarbeitet, lassen Angreifer  den Standort eines Nutzers auf wenige Meter genau ermitteln und in der Folge für gezielte Angriffe missbrauchen.

Craig Young von Tripwire sagte gegenüber dem Sicherheitsexperten Brian Krebs: „Ein Nutzer müsste lediglich einen Link öffnen, während er im gleichen Netzwerk angemeldet ist, wie sein Chromecast oder Google Home. Der Link müsse lediglich etwa eine Minute geöffnet sein, um den Standort möglichst genau zu bestimmen.“

Lesetipp: Fire TV, Apple TV und Chromecast im Test

In einem Demo-Video zeigt Young seinen Fund – siehe unten. In Tests mit dem Google-Standortdienst war es ihm möglich, Geräte eindeutigen Straßen und Hausnummern zuzuordnen. Das würde beispielsweise deutlich realistischere Phishing-Angriffe und Erpressungsversuche erlauben. Young hat Google bereits im Mai über seinen Fund unterrichtet. Ohne Reaktion. Auf erneute Nachfrage von Krebs ließ Google verlauten, an einem Update zu arbeiten. Die Veröffentlichung ist gegenwärtig für Mitte Juli geplant.

Google Home/Chromecast Location Disclosure

Quelle: Tripwire
Tripwire zeigt die Sicherheitslücke in Chromecast und Google Home.

Mehr zum Thema

"CastHack"

Hacker haben Sicherheitslücken ausgenutzt und Tausende Chromecasts übernommen. Wir zeigen, wie Sie den Google-Stick und Ihr Heimnetz sichern und…
Tool prüft Schwachstelle

Die "Thunderspy" getaufte Schwachstelle in Intels Thunderbolt-Schnittstelle erlaubt Angreifern weitgehenden Zugriff. So können Sie sich schützen.
Angebliche Konto-Prüfung und mehr

Die Polizei warnt vor einer neuen Amazon-Phishing-Welle: Mit täuschend echt wirkenden E-Mails versuchen Cyberkriminelle Zugangsdaten zu erbeuten.
Beliebter Media-Player

Die aktuellen Versionen ab 3.0.9 des VLC Players sind von Sicherheitslücken befreit. Das BSI erinnert Nutzer daran, das Update baldmöglichst…
Funktionsupdate auf Version 2004

Release fürs Windows 10 Mai 2020 Update: Nutzer können es konventionell erhalten oder per Clean Install sauber neuinstallieren. Doch es gibt bekannte…