Google hat im August 2018 eine Sicherheitslücke im Fortnite Installer für Android veröffentlicht. Der Fehlerbericht im Google Issue Tracker beschreibt eine Angriffsmöglichkeit, bei der eine andere App den Download des Fortnite-Pakets übernehmen und statt des Spiels eine manipulierte APK zur Installation einschleusen konnte.
Die Lücke betraf die frühe Android-Verteilung von Fortnite. Epic Games hatte die Beta am 9. August über die offizielle Fortnite-Seite für Android sowie für bestimmte Samsung-Geräte gestartet. Der Download lief damit nicht grundsätzlich über den Google Play Store, sondern über einen eigenen Installer.
Manipuliertes APK statt Fortnite
Der Fehler ermöglichte einen sogenannten Man-in-the-Disk-Angriff. Eine bereits installierte App mit Zugriff auf den öffentlichen Speicher konnte die heruntergeladene Datei zwischen Download und Installation austauschen. Der Installer prüfte anschließend nicht zuverlässig, ob die APK noch aus der vorgesehenen Quelle stammte. Dadurch konnte im Ablauf eine andere Anwendung auf dem Gerät landen.
Google stufte den Fehlerbericht als behoben ein. Epic hatte die Verteilung wenige Tage zuvor in einem Statusbericht zur Android-Beta selbst als noch nicht reibungslos beschrieben und auf Stabilitäts- sowie Performanceprobleme hingewiesen. Der Bericht nannte außerdem weiterhin die Epic-Webseite und Samsungs Game Launcher als offizielle Bezugsquellen.
Sicherheitsrisiko der direkten Spieleverteilung
Die Sicherheitslücke betraf damit nicht das Fortnite-Spiel selbst, sondern die Installationskette für die Android-Version. Der Fall zeigte, dass eine direkte Verteilung außerhalb eines zentralen App Stores zusätzliche Prüfungen für Download, Speicherung und Signatur benötigt. Epic hatte den Android-Weg gewählt, während Fortnite auf Xbox One, PC, Mac und iOS bereits über andere Plattformkanäle verfügbar war. Einen ähnlichen Plattformbezug hatte Epic zuvor beim Fortnite-Auftritt zur gamescom 2018 gezeigt.