Sabato, 03 Dicembre 2016 15:11

Scoperte gravi vulnerabilità in AirDroid, utenti in pericolo

Gli esperti di Zimperium (enterprise mobile security solution) hanno individuato gravi bug in AirDroid che permettono di intercettare il traffico, rubare dati sensibili e installare file APK.

Zimperium ha scoperto diversi bug nella popolare app di gestione remota per Android. Nonostante la segnalazione iniziale sia avvenuta già a maggio e nonostante le numerose sollecitazioni effettuate dall’azienda di sicurezza, lo sviluppatore Sand Studio non ha corretto le gravi vulnerabilità, nemmeno nella recente versione 4.0.1 distribuita a fine novembre.

Sul Google Play Store viene indicato un numero di installazioni compreso tra 10 e 50 milioni, quindi non è possibile conoscere l’esatta popolarità dell’applicazione. In ogni caso il problema è piuttosto serio: Zimperium ritiene che il rischio di subire un attacco MITM (man-in-the-middle) sia piuttosto elevato. AirDroid utilizza una connessione HTTPS per quasi tutte le funzionalità, ma per alcune operazioni, come la raccolta di dati statistici, vengono sfruttati canali meno sicuri.

Un malintenzionato potrebbe quindi intercettare il traffico di rete, eseguire un attacco MITM ed ottenere le credenziali di autenticazione. In questo modo sarebbe possibile rubare diverse informazioni sensibili, come username, password, indirizzo email, codici IMEI e IMSI. Usando un proxy è inoltre possibile intercettare le richieste inviate da AirDroid per verificare la presenza di aggiornamenti e quindi installare sullo smartphone qualsiasi file APK infetto. L’utente non si accorgerà di nulla, in quanto l’update sembrerà originale.

Zimperium ha contattato Sand Studio il 24 maggio. Lo sviluppatore ha confermato di essere a conoscenza del problema, ma le due ultime versioni dell’app (4.0 e 4.0.1) includono le stesse vulnerabilità. Zimperium ha quindi deciso di rendere pubblico il grave problema di sicurezza. In attesa di una patch, gli utenti devono immediatamente disinstallare AirDroid dai loro dispositivi.

Letto 299 volte Ultima modifica il Sabato, 03 Dicembre 2016 15:26