Sicherheitslücke zur Umgehung der Same-Origin-Policy im Android-Browser (CVE-2014-6041)
17.9.2015 - 1 Min. Lesezeit
Aktualisiert: 4.6.2021
Eine schwere Sicherheitslücke im Android AOSP-Browser wurde offengelegt: http://www.rafayhackingarticles.net/2014/08/android-browser-same-origin-policy.html
Das Psiphon-Team hat festgestellt, dass der integrierte Browser („Nur-Browser-Modus“) in unserer Psiphon-App unter den Android-Versionen 3.0 bis 4.3 durch die Nutzung des Android AOSP-Browsers über die WebView-Komponente betroffen ist. Es gibt keine bekannte Abhilfemaßnahme für diese Sicherheitslücke, außer JavaScript in den WebView-Komponenten unseres integrierten Browsers zu deaktivieren.
Wir veröffentlichen Psiphon für Android Version 62, wodurch JavaScript im integrierten Browser auf diesen Android-Versionen deaktiviert wird. Wir planen, diese Einschränkung beizubehalten, bis eine weniger störende, wirksame Abhilfemaßnahme verfügbar ist oder der Android AOSP-Browser weitgehend gepatcht wurde.