Grave vulnerabilità sistemi android < 4.1

[loric]

Ravi Borgaonkar, un ricercatore presso il dipartimento delle telecomunicazioni della Technical University di Berlino, ha dimostrato alla conferenza sulla sicurezza argentina Ekoparty l’esistenza di una severa vulnerabilità di alcuni telefoni Android e altri telefoni Samsung basati su sistemi operativi differenti. Il problema si basa sulla gestione dell’URI tel: e consentirebbe ad un attaccante di convincere la vittima a visitare una pagina web ad hoc per cancellare il contenuto del telefono attraverso un apposito codice USSD.

La pagina che sfrutta la vulnerabilità deve contenere questo codice HTML:

<iframe src="tel:..."></iframe>

Dove al posto dei tre puntini si mette il codice USSD per cancellare il telefono.

Per verificare se un telefono è vulnerabile si può visitare la pagina androidtest.siamogeek.com che contiene l’exploit descritto sopra per visualizzare il codice IMEI del telefono. Se la pagina mostra il codice IMEI del telefono, quella versione del software è vulnerabile.

Siamo geek » Seria vulnerabilità di alcuni Android

Risultato del test: il mio HTC Desire HD è vulnerabile, mentre il mio Asus TF101 no.

Bella crepa...

[Dannatio]

Ma che siti frequenti......

[AR89]

bug di questo genere se ne trovano un po' ovunque

[loric]

Ma che siti frequenti......

Modificato 8 Ottobre 2012 da loric

[moro85]

con Avast riconosce il codice USSD e non lo fa eseguire.... almeno per ora diciamo che con un antivirus installato si può limitare il problema

[Dannatio]

Questa è una informazione di servizio, praticamente il mio primo post serio degli ultimi 6 mesi, e tu mi perculi?

Scommetto che c'hai il melafonino

[loric]

Ca va sans dire.......

[elmad]

Be' la grande ca..... l'hanno fatta prevendo un USSD che facesse il factory reset. Neanche sapevo che esistesse un codice del genere. Ma si può?

Noto con piacere che il mio Sony attende la mia conferma prima di comporre il codice

P.S.

[loric]

Be' la grande ca..... l'hanno fatta prevendo un USSD che facesse il factory reset. Neanche sapevo che esistesse un codice del genere. Ma si può?

Noto con piacere che il mio Sony attende la mia conferma prima di comporre il codice

Se il codice ti appare dopo che hai visitato quella pagina di test, non è il tuo Sony che ti chiede conferma, ma il test medesimo che fa apparire una dialogbox. Una pagina malevola invece ti avrebbe resettato il terminale.

[elmad]

Se il codice ti appare dopo che hai visitato quella pagina di test, non è il tuo Sony che ti chiede conferma, ma il test medesimo che fa apparire una dialogbox. Una pagina malevola invece ti avrebbe resettato il terminale.

Modificato 8 Ottobre 2012 da elmad