Hallo colombo1980,
nehmen wir mal an im Telefon befinden sich nach einer vorherigen Anmeldung per ssl noch die Anmeldedaten zu den Google Services. Nun rufst Du eine bösartige Seite auf, dies kann auch eine App oder vielleicht auch nur ein manipulierter Werbebanner sein.Vermutlich dürfte dies schon reichen um an einen Dump aus Deinem Telefon zu kommen, der für böse Jungs interessant sein könnte. Ob sich in den 64k natürlich die Anmeldedaten befinden sei mal da hingestellt, macht man das aber ein paar mal dürften sich die Chancen drastisch erhöhen.
Wenn man z.b. den kursierenden Exploit als Pythonscript von Jared Stafford ansieht ist es erschreckend zu sehen, wie wenig Code es eigentlich braucht um Daten vom Server zu bekommen.
Es gibt es ja auch mittlerweile einen "Online Reverse Heartbleed Tester", dieser ist von u1000 verlinkten Thread zum Artikel zu finden. Wenn der funktioniert landen allerdings Daten ohne Deine Kontrolle auf dieser Seite. "Deshalb: Use at your own Risk!" Ich verzichte hier bewusst auf einen direkten Link, so etwas sollte man nur mit einem Testsystem probieren.
Interessant zu lesen ist aber auf dieser Seite der dazugehörige Blogartikel und der Punkt "Is this harder to exploit than Heartbleed?", dieser dürfte Deine Frage ob das nur ein Problem auf dem Server ist beantworten: "(..)At a high-level, the exploit code is very similar to the client-initiated attack, but there are a couple of factors that make "reverse Heartbleed" a little harder to pull off(..)".
So sehr ich Android mag, aber zumindest die Core Functions sollten von zentraler Stelle (z.B. Google) gepflegt und für jede Version über einen bestimmten Zeitraum garantiert werden. Solange dies Aufgabe des Herstellers bleibt wird das nichts, der verdient am Verkauf der HW.
Stefan