// HEISE ONLINE — MODA & SOCIETÀ
App-Baukasten AppYourself: Update stopft Sicherheitslücke
Mit AppYourself können auch Nicht-Programmierer Business-Apps erstellen. Ein Update schließt eine Sicherheitslücke in der Software.
Der App-Baukasten AppYourself ermöglicht auch Menschen ohne Programmierkenntnisse, ihre eigene Business-App etwa für die Unternehmenskommunikation zu entwickeln. IT-Forscher haben Sicherheitslücken darin ausgemacht. Updates bessern die Fehler aus.
Der Chaos Computer Club (CCC) meldet die Schwachstellen in AppYourself auf seiner Internetseite. Demnach wurden bei der Eingabe einer registrierten E-Mail-Adresse vom Server die zugehörigen Passwort-Hashes mitgeliefert, mit denen sich Angreifer einfach anmelden konnten. Diesen Fehler haben die Entwickler nachvollzogen und inzwischen abgestellt.
AppYourself bietet die Möglichkeit, Module in den Apps mit einer PIN vor unbefugten Zugriffen zu schützen. Da die Prüfung nur clientseitig erfolgt, ließ sie sich einfach umgehen. Hierzu erklärt AppYourself, dass die Kunden diese Funktion nicht nutzen würden. Inzwischen setzt der App-Baukasten auf einen TAN-Schutz, bei dem Nutzer Einmal-Passcodes angeben müssen. Diese TANs werden nicht von der App geladen, sondern serverseitig geprüft. Die PIN-Funktion soll in absehbarer Zeit aber vollständig entfernt werden.
Der CCC weist in seiner Analyse darauf hin, dass API-Keys im Quellcode der Software enthalten seien. AppYourself hat dazu erklärt, dass im Quellcode eine App-ID hinterlegt ist, die als „API KEY“ im kompilierten JS-Code auftaucht. Der eigentliche API-Key liegt demzufolge jedoch ausschließlich auf dem Server. Die App-ID dient zur Initialisierung des verwendeten SDKs und ist per Design öffentlich. Das stellt somit keine Sicherheitslücke dar.
Das IT-Team von AppYourself erklärt, dass es keine Hinweise darauf gibt, dass die Schwachstelle aktiv ausgenutzt wurde. Die Aktualisierungen zum Schließen der Lücke sind online umgesetzt worden.
Transparenzhinweis: AppYourself ist ein Tochterunternehmen der heise group.
Ob Sicherheitslücken, Viren oder Trojaner – alle sicherheitsrelevanten Meldungen gibts bei heise security
Ausführliche Informationen zum Versandverfahren und zu Ihren
Widerrufsmöglichkeiten erhalten Sie in unserer
Datenschutzerklärung.
Immer informiert bleiben: Klicken Sie auf das Plus-Symbol an einem Thema, um diesem zu folgen. Wir zeigen Ihnen alle neuen Inhalte zu Ihren Themen.
Mehr erfahren.