Last Updated on January 30, 2011

Non c’e’ dubbio, le facili previsioni che davano l’Androide al centro dei problemi di sicurezza per il 2011 hanno centrato l’obiettivo.
Non sono passate che poche ore dall’annuncio di un proof of concept per trasformare l’Androide in un telefono zombie e già nel web rimbalzano i cinguettii di una nuova grave vulnerabilità nel browser fornito di default che rende possibile il furto di informazioni sensibili da parte di un malintenzionato.

La vulnerabilità, che interessa l’ultima versione del sistema operativo, la 2.3 caratterizzata dal Pan di Zenzero (Gingerbread), è stata scoperta da Xuxian Jiang, professore presso la North Caroline University, ed è la medesima che era stata scoperta (e apparentemente patchata) a novembre 2010 per l’omino di Yogurt Froyo (Android 2.2) da Thomas Cannon.

Sembra proprio che la patch contenuta nel Pan di Zenzero 2.3 non sia definitiva e possa essere bypassata. Perlomeno questo è quello che è stato provato con un proof-of-concept su un Nexus S (ultimo nato di casa Google), la cui vulnerabilità, opportunamente sfruttata (o exploitata come come si dice in termini tecnici) potrebbe essere sfruttata per rubare dati semplicemente spingendo l’utente ignaro a visitare un link malizioso.

Il ricercatore è riuscito a sfruttare la vulnerabilità sull’androide cavia per:

• Ottenere la lista delle applicazioni attualmente installate sul telefono;
• Caricare le applicazioni (installate sulle partizioni /system e /sdcard) verso un server remoto;
• Leggere e caricare il contenuto di ogni file (incluse foto, messaggi vocali, etc,) contenuta sulla sdcard del terminale..

Google è stata avvisata il 26 gennaio ed ha risposto dopo 10 minuti. Dopo le opportune verifiche ha riconosciuto la vulnerabilità ed ha indicato che verrà sanata non più tardi della prossima major release del sistema operativo.

Ad ogni modo l’attacco, di cui non sono noti attuali exploit, non utilizza i privilegi di root ed è attivo all’interno della sandbox del sistema operativo, per cui è in grado di catturare “solamente” i file della sdcard e pochi altri.