Android – Grave vulnerabilità scoperta nel browser di Android

Android - fonte: dal web

La scoperta è stata divulgata da un consulente informatico inglese, Thomas Cannon, che ha pubblicato sul suo sito un articolo che spiega dettagliatamente le cause della falla, con tanto di video che prova l’exploit sulla piattaforma Android Froyo 2.2 di un emulatore ma anche su un HTC Desire su cui gira la medesima piattaforma.

Sottoponendo un particolare codice Javascript al browser, il ricercato inglese dimostra come sia possibile accedere da remoto ai file contenuti della card SD del proprio smartphone, oltre che ad un ristretto gruppo di altri file memorizzati sul telefono. Come sottolinea lo stesso Cannon, questo tipo di attacco, servendosi di Javascript e del browser di sistema, può essere subìto su una grande quantità di dispositivi mobile e su qualsiasi piattaforma Android.

Cannon continua l’analisi dimostrando che l’exploit ha comunque dei limiti, primo fra tutti quello di conoscere il percorso esatto e il nome del file che si vuole rubare. Tuttavia, come riporta lo stesso autore dell’articolo,  molte applicazioni Android utilizzano convenzioni specifiche e chiare per la memorizzazioni dei file nella card SD (es. la Gallery), dunque risulta particolarmente semplice ricostruire i percorsi e i nomi dei file.

Google ha confermato la grave vulnerabilità, informando che i suoi ricercatori sono già al lavoro per risolvere il problema il più presto possibile. In attesa di una patch ufficiale, Cannon ritiene che, nonostante la celerissima risposta di Google (solo 20 minuti dopo la sua notifica all’Android Security Team), ci vorrà un pò di tempo prima di poter risolvere definitivamente il problema.