Denial of Service durch einen manipulierten OIDC-Redirect-Intent

Beschreibung

override fun parse(url: String): OAuthAction? {
    if (url.startsWith(oAuthRedirectUrlProvider.provide()).not()) return null
    if (url.contains("error=access_denied")) return OAuthAction.GoBack()
    if (url.contains("code=")) return OAuthAction.Success(url)

    // Other case not supported, let's crash the app for now
    error("Not supported: $url")
}

MainActivity.onNewIntent()
  -> MainNode.handleIntent()            [lifecycleScope.launch, no CoroutineExceptionHandler]
    -> RootFlowNode.handleIntent()
      -> IntentResolver.resolve()
        -> DefaultOAuthIntentResolver.resolve()
          -> DefaultOAuthUrlParser.parse()
            -> error("Not supported: $url")

<!--
  OAuth redirection
-->
<intent-filter>
    <action android:name="android.intent.action.VIEW" />

    <category android:name="android.intent.category.DEFAULT" />
    <category android:name="android.intent.category.BROWSABLE" />

    <data android:scheme="@string/login_redirect_scheme" />
</intent-filter>

FATAL EXCEPTION: main
Process: io.element.android.x, PID: 4800
java.lang.IllegalStateException: Not supported: io.element.android:/?state=...
    at io.element.android.libraries.oauth.impl.DefaultOAuthUrlParser.parse(OAuthUrlParser.kt:42)

override fun parse(url: String): OAuthAction? {
    if (url.startsWith(oAuthRedirectUrlProvider.provide()).not()) return null
    if (url.contains("error=access_denied")) return OAuthAction.GoBack()
    if (url.contains("code=")) return OAuthAction.Success(url)

    // Other cases are not supported, log an error and return null
    Timber.w("Unsupported OAuth url")
    return null
}

Auswirkung

• Jede auf dem Gerät installierte Anwendung kann Element X Android jederzeit zum Absturz bringen, ohne Android-Berechtigung und ohne Interaktion. Eine Webseite erreicht dasselbe, sobald ein Link angetippt wird. Der Messenger bleibt so lange unbenutzbar, wie die angreifende Anwendung den Intent weiter sendet.
• Das Fehlerbild wiegt schwerer als der einzelne Absturz. Eine Anwendung, die den Intent zeitgesteuert wiederholt sendet, macht den Messenger unbrauchbar, ohne dessen Daten je zu berühren, und die betroffene Person erhält keinerlei Hinweis darauf, welche installierte Anwendung dafür verantwortlich ist. Den Absturz genau auf das Öffnen des Messengers zu legen ist ebenfalls möglich, erfordert aber die vom Nutzer zu erteilende Berechtigung PACKAGE_USAGE_STATS, um die Vordergrund-App auszulesen; die ungezielte Variante benötigt keine. Beides bestätigt gegen Element X Android v26.03.3 aus dem Play Store unter Android 15.
• Es werden weder Nachrichteninhalte noch Schlüsselmaterial oder Kontodaten offengelegt. Die Auswirkung betrifft ausschließlich die Verfügbarkeit, und sie trifft die Nutzenden, nicht den Homeserver.

Abhilfe

Aktualisieren Sie Element X Android auf 26.06.2 oder höher. Der Fix ersetzt den error()-Aufruf durch eine Log-Zeile und einen null-Rückgabewert, den der Aufrufer bereits als unbekannte URL behandelt. Für frühere Versionen gibt es keinen Workaround auf Konfigurationsebene: Der Intent-Filter muss exportiert bleiben, damit der OIDC-Login überhaupt funktioniert.

Checkliste für Betreiber

• Auf Element X Android 26.06.2 oder höher aktualisieren.

  Jede frühere Version mit OIDC-Unterstützung ist betroffen, über die Schemata für Release, Debug und Nightly.

• Nicht auf einen Workaround warten.

  Der OIDC-Redirect-Intent-Filter muss exportiert bleiben, damit der Login funktioniert. Ohne den Code-Fix schließt keine Konfiguration die Lücke. In verwalteten Geräteflotten gehört das Update zu den Pflichtmaßnahmen.

• Forks auf dasselbe Muster prüfen.

  Anwendungen auf Basis der Element-X-Android-Codebasis erben den Parser. Suchen Sie nach error( auf jedem Pfad, der von einem exportierten Intent-Filter aus erreichbar ist: Eine IllegalStateException auf einer angreiferkontrollierten URL ist ein Absturz, keine Absicherung.

• Die übrigen exportierten Einstiegspunkte prüfen.

  Die Ursache ist ein error()-Aufruf, der einen nicht behandelten Fall auf einem Pfad vertritt, der später von außen erreichbar wurde. Jede exportierte Activity, jeder Receiver und jeder Provider, der angreiferkontrollierte Daten parst, verdient dieselbe Prüfung, einschließlich derer, deren Unit-Tests das Werfen einer Exception heute als korrekt festschreiben.

Bewertung im Detail

Referenzen

• GHSA-r4f9-46vw-v7g3 (Element)
• CVE-2026-55080 (NVD)
• Element X Android v26.06.2 Release
• Element-X-Android-Repository
• CVE-2025-27599 (NVD, Präzedenzfall für AV:N beim selben exportierten Intent-Filter)
• Verwandt: HTML-Injection in Element Web über die homeserver-kontrollierte Startseiten-URL

So können wir helfen

• Security Architecture Review
• MDR-Penetrationstests