Luka w samsungach naraża miliony użytkowników na utratę danych

Strona głównaLuka w samsungach naraża miliony użytkowników na utratę danych
13.08.2020 07:09
Luka w samsungach naraża miliony użytkowników na utratę danych

Jeśli masz telefon marki Samsung, to najprawdopodobniej jesteś też posiadaczem—świadomie lub nie—aplikacji "Znajdź mój telefon", która pozwala na zlokalizowanie lub wymazanie utraconego sprzętu. Jak się okazuje, niniejsza apka od wielu lat cierpi na poważny, dotąd nieznany problem z bezpieczeństwem.

bECfPbsl

Sytuację omówiła szczegółowo portugalska grupa Char49 podczas konferencji DEF CON w minionym tygodniu. Teraz jednak raport trafił także do internetu.

"Ten błąd, po odpowiedniej konfiguracji, może być łatwo wykorzystany i mieć naprawdę poważne konsekwencje dla użytkownika i potencjalnie katastrofalne skutki" – pisze jeden z zaangażowanych badaczy, Pedro Umbelino. Wśród możliwych incydentów wymienia m.in.: całkowitą blokadę telefonu, utratę danych z przywróceniem ustawień fabrycznych, dostęp do dziennika połączeń i SMS-ów, odczyt numeru IMEI czy śledzenie lokalizacji.

Szkodliwość błędu potwierdzono na kilku różnych modelach smartfonów, w tym flagowych Galaxy S9+, S8 oraz S7. Wprawdzie Samsung wydał już ponoć stosowne łatki, więc zagrożenie w teorii zostało unieszkodliwione, ale trzeba jeszcze pamiętać o aktualizacji. Bo patch dystrybuowany jest poprzez Galaxy Store, a nie Sklep Play. Tak czy inaczej, na szczególną uwagę zasługuje w tym przypadku sama architektura zagrożenia. Nie świadczy bowiem najlepiej o kontroli oprogramowania w Samsungu.

Ustalono, że aplikacja "Znajdź mój telefon" sprawdza, czy w pamięci urządzenia znajduje się odpowiedni manifest i na tej podstawie inicjuje połączenie ze wskazanym w nim adresem URL. Wykorzystując dwa również niezabezpieczone przekaźniki, napastnik może w łatwy sposób stworzyć szkodliwe oprogramowanie, które przekieruje ruch na dowolny serwer. I może to być np. serwer pośredniczący, który w imieniu użytkownika zainicjuje wyzerowanie pamięci telefonu. Albo zbierze dane przechowywane w chmurze Samsung Cloud.

bECfPbsn

"Aplikacja «Znajdź mój telefon» nie powinna mieć żadnych dostępnych publicznie, wyeksportowanych komponentów" – komentuje Umbelino. "Jeśli jest to absolutnie konieczne, na przykład jeśli inne pakiety wywołują te komponenty, powinny być one chronione odpowiednimi uprawnieniami" – podsumował. Teraz na szczęście są, ale pamiętajcie o aktualizacji.

Programy

Aktualizacje
Aktualizacje
Nowości
bECfPbtj