Samsung Browser: Sechs kompromittierte Zertifikate bleiben weiterhin gültig

Während führende Webbrowser wie Google Chrome, Mozilla Firefox und Apple Safari bereits Schutzmaßnahmen gegen kompromittierte Zertifikate der indischen Zertifizierungsstelle eMudhra ergriffen haben, weist der Samsung Browser eine erhebliche Sicherheitslücke auf.

In aktuellen Tests vertraute der Samsung Browser in Version 31.0.0.64 weiterhin sechs kompromittierten Website-Zertifikaten von eMudhra, wie aus einem Branchenbericht hervorgeht. Nutzer werden daher dazu angehalten, für sensible Vorgänge wie Online-Banking vorerst auf alternative Browser auszuweichen und verfügbare Anwendungsaktualisierungen umgehend einzuspielen.

Gravierende Schwachstelle bei Zertifikatserstellung

Der Test ergab, dass der Samsung Browser alle sechs betroffenen TLS-Zertifikate über das Stammzertifikat emSign Root TLS CA - G3 von eMudhra akzeptierte, wenngleich er Routen über Sectigo verweigerte. Der Ursprung des Problems liegt in einer fehlerhaften Schlüsselgenerierung vom 30. April 2025 unter dem besagten Stammzertifikat.

Ein Skriptfehler bei einem Verarbeitungsschritt reduzierte die Entropie bei acht Zwischenzertifizierungsstellen drastisch von regulären 384 Bit auf lediglich 3 bis 8 Bit. Bei mehreren privaten Schlüsseln waren alle Bytes bis auf das letzte mit Null belegt, sodass einzelne Werte nur zwischen 0 und 255 lagen – in einem Fall entsprach der private Schlüssel schlicht der Ziffer 4.

Millionen Android-Nutzer sind täglich Hackern schutzlos ausgeliefert – ohne es zu wissen. Ein veraltetes Smartphone ist wie eine offene Haustür für Cyberkriminelle. Dieser kostenlose Report zeigt, wie Sie sich schützen. 5 einfache Schritte für mehr Smartphone-Sicherheit

Wegen dieser unzureichenden Zufälligkeit ließen sich die privaten Schlüssel aus den öffentlichen Zertifikaten vollständig rekonstruieren. Sicherheitsforscher deckten auf, dass dadurch unautorisierte TLS-Zertifikate für beliebige Websites signiert werden konnten.

Potenzielle Angreifer könnten über Man-in-the-Middle-Angriffe Datenverkehr abfangen, Sitzungen übernehmen oder gefälschte Webseiten und Schnittstellen imitieren. Betroffen sind insgesamt acht Zwischenzertifikate, darunter sechs TLS-Zertifikate sowie zwei Zertifikate zur Codesignierung.

Reaktionen der Plattformbetreiber und Risiken für Endnutzer

Die indische Sicherheitsbehörde CERT-In warnte nach Bekanntwerden der Lücke vor gefälschten Websites sowie digital signierter Schadsoftware. Große Technologiekonzerne reagierten bereits wenige Tage nach der ersten Meldung: Chrome und Firefox blockierten die betroffenen Zertifikate am 17. Oktober 2026. Apple folgte mit entsprechenden Sperren am 19. Oktober, Microsoft zog am 20. Oktober nach.

Zudem widerrief eMudhra die acht Zwischenzertifikate am 18. Oktober 2026 offiziell und kündigte an, die Zertifikatsausstellung unter dem G3-Root einzustellen. Google lieferte den notwendigen Schutz für Android-Geräte über die Google Play Services aus, wobei ein Neustart des Mobilgeräts die Aktualisierung sofort auslöst.

Wer sich mit der Sicherheit mobiler Endgeräte befasst, sollte die grundlegenden Schutzmaßnahmen kennen. Dieser gratis PDF-Ratgeber zeigt 5 einfache Schritte, die jeder Android-Nutzer sofort umsetzen kann, um WhatsApp, PayPal & Co. abzusichern. Kostenlosen Sicherheits-Ratgeber herunterladen

Trotz dieser Gegenmaßnahmen auf Betriebssystemebene bleiben Nutzer bestimmter Browser und separater Anwendungen gefährdet. Da Browser, Betriebssysteme und mobile Apps unterschiedliche Trust-Stores nutzen, garantieren allgemeine System- oder App-Aktualisierungen nicht zwangsläufig, dass jede Komponente über bereinigte Zertifikatslisten verfügt.

Auch Kryptowährungs-Apps oder automatisierte Trading-Programme könnten die schwachen Zertifikate weiterhin akzeptieren, wenn sie eine eigene Zertifikatsvalidierung verwenden.

Sicherheitsexperten betonen vor diesem Hintergrund, dass Zertifikatswarnungen auf Smartphones keinesfalls manuell ignoriert oder umgangen werden sollten. Betreibern von Onlinediensten und Websites wird geraten, Zertifikate unter dem betroffenen eMudhra-Stammzertifikat zügig zu ersetzen, da Google dessen vollständige Entfernung bis zum 27. Oktober 2026 vorsieht.

Anwendern des Samsung Browsers wird geraten, bis zu einem entsprechenden Sicherheitsupdate für sicherheitskritische Dienste wie Behördenportale oder Zahlungsabwicklungen auf alternative Browser zu setzen.