Joidenkin samsung-puhelimien suuri tietoturvahaavoitus voi laukaista tehdasasetukset verkkosivun kautta

Päivitys, 26. syyskuuta: Samsung on kertonut, että viimeisin Galaxy S3 -ohjelmisto korjaa tämän hyödyn. Omat testimme ovat osoittaneet, että muut puhelimet, erityisesti Galaxy S2 -mallit, voivat kuitenkin olla edelleen vaarassa. Jos olet edelleen huolissasi, tarkista USSD-haavoittuvuustesti, onko puhelimesi haavoittuvainen.

Joissakin TouchWiz-pohjaisissa Samsung-älypuhelimissa, mukaan lukien Galaxy S2 ja tietyt Galaxy S3 -mallit vanhemmissa laiteohjelmissa, on havaittu suuri tietoturvahaavoitus. Turvallisuustutkija Ravi Borgaonkar osoitti virheen ensimmäisenä päivinä Ekopartyn turvallisuuskonferenssissa. Siihen sisältyy yhden koodirivin käyttö haitallisella verkkosivulla tehdasasetusten välittömään käynnistämiseen käyttäjää kehottamatta tai antamaan heille mahdollisuus peruuttaa prosessi. Vielä vakavampi on mahdollisuus, että tämä voidaan yhdistää samanlaiseen häiriöön, jotta käyttäjän SIM-kortti ei olisi käyttökelpoinen. Ja koska haittakoodi on URI-muodossa, se voidaan toimittaa myös NFC: n tai QR-koodin kautta.

Verizon Galaxy S3 -sovellusta ei nollattu verkkosivulle upotetulla haitallisella koodilla, vaikka pystyimmekin palauttamaan nollauksen käyttämällä samanlaista koodia, joka on sidottu hyperlinktiin. Mobile dev Justin Case kertoo, että ongelma on korjattu viimeisimmissä AT&T- ja kansainvälisissä Galaxy S3 -ohjelmistoversioissa, vaikka laitteet, joita ei ole päivitetty, voivat jäädä haavoittuviksi. Toiset ovat ilmoittaneet, että myös Galaxy Ace ja Galaxy Beam, kuten Galaxy Aam, kärsivät. Sikäli kuin voimme kertoa, virhe ei vaikuta Samsungin puhelimiin, joissa on Android-osakkeita, kuten Galaxy Nexus.

Haavoittuvuus johtuu tavasta, jolla natiivi Samsung-soitintasovellus käsittelee USSD-koodeja ja puhelinlinkkejä. USSD-koodit ovat erityisiä merkistöyhdistelmiä, jotka voidaan syöttää näppäimistölle tiettyjen toimintojen suorittamiseksi, kuten puhelunsiirron sallimiseksi tai laitteen piilotettujen valikoiden käyttämiseksi. Samsung-puhelimissa on myös USSD-koodi puhelimen tehdasasetusten palauttamiseen (ja luultavasti toinen SIM-kortin nukkumiseen). Tämä yhdistettynä siihen tosiasiaan, että numeronvalinta suorittaa automaattisesti muiden sovellusten välittämät puhelinlinkit, johtaa erityisen ikävään ongelmaan kenelle tahansa, joka on tarpeeksi valitettava haitallisen verkkosivun ylläpitämiseksi.

Tätä tietoturvaa on tietysti myös muilla sovelluksilla - esimerkiksi kykyä ajaa numeroita automaattisesti numeronvalinnan kautta voidaan käyttää soittamaan korkeatasoisiin puhelinnumeroihin. Mutta se, että vain verkkosivustolla käyminen voi palauttaa puhelimen tehdasasetukset, pyyhkiä sisäisen tallennustilan ja poistaa SIM-kortin, on erittäin vakava ongelma. Joten suosittelemme päivittämään ohjelmistosi, jos sinulla on S3-versio, ja jos et ole, suosittelemme käyttämään kolmannen osapuolen valintaa, kuten Dialer One, kunnes kaikki tämä on puhjennut.

Olemme kysyneet Samsungilta kommenttia tästä asiasta, ja pidämme sinut ajan tasalla kaikista heidän tarjoamistaan ​​tiedoista.

Lähde: @Paul Olvia; kautta SlashGear, @backlon, @teamandirc