L’agenzia governativa statunitense, la National Institute of Standards and Technology (NIST), ha diramato una nota con la quale dichiara la pericolosa vulnerabilità di Find My Phone di Samsung.
Find My Phone è un’ app preinstallata sui device Samsung che permette la localizzazione geografica del dispositivo mobile, questo per prevenire furti o semplice sbadataggine dell’utente, che permette il blocco del device e il wipe dello stesso attraverso la modalità remota.
Find My Phone di Samsung agisce sostanzialmente come quella realizzata da Google (Gestione dispositivi Android), a differenza dell’app di BigG ha un bug di sicurezza che permette ad un malintenzionato di bloccare da remoto lo smartphone o disporne la cancellazione di tutti i dati. Il problema vine identificato nell’assenza di un sistema di verifica sulla richiesta remota di blocco o di azzeramento dello smartphone.
Mohamed Abdelbaset Elnoby, autore della scoperta, spiega di aver eseguito un attacco CSRF (Cross Site Request Forgery), ovvero un attacco informatico mirato, utilizzato per mandare richieste GET/POST ad un’applicazione web, attraverso il browser di un utente ignaro. Utilizzando di conseguenza i permessi dell’utente e mantenendo un’interazione con il sito, come se lo script in esecuzione fosse l’utente vero e proprio, quindi, l’aggressore può di fatto ordinare al servizio Find My Phone di bloccare il telefono, farlo squillare o di resettare l’intero device.
Elnoby ha realizzato uno script remoto che permette di ricevere il codice PIN e tutta una serie di informazioni sullo smartphone Samsung e sul suo possessore.
http://www.youtube.com/watch?v=Q3adkpOEjyI
Nel comunicato pubblicato dal NIST, la falla di sicurezza individuata in Samsung Find My Phone viene giudicata “critica” (7,8 punti su 10). Samsung ha confermato il bug e suggerisce di disattivare la funzionalità Find My Phone e di essere al lavoro per risolvere problema.
Comments
Loading…