I telefoni Google Pixel presentano una vulnerabilità a causa di un'app Android nascosta – Tablet e telefoni – Notizie

I telefoni Google Pixel venduti da settembre 2017 hanno un'app inattiva con “Autorizzazioni di sistema in eccesso” per impostazione predefinita. Lo ha riferito la società di sicurezza iVerify. Secondo iVerify, l'app potrebbe teoricamente essere utilizzata per controllare il dispositivo. Google rimuoverà l'app.

L'app in questione è stata scoperta da iVerify in collaborazione con la società di monitoraggio Palantir. Secondo un comunicato stampa A proposito di debolezza. L'EDR di iVerify ha contrassegnato il dispositivo Android Palantir come non sicuro. Le due società hanno ideato l'app dopo aver condotto un'indagine congiunta. L'app in questione si chiama Showcase.apk e si dice che sia stata creata da Smith Micro Software per il provider di telecomunicazioni Verizon. L'app dovrebbe mirare a mettere i telefoni in modalità beta per i negozi. iVerify afferma che Showcase fa parte dell'immagine del firmware e sarà quindi presente su una “percentuale molto ampia” di dispositivi Pixel spediti in tutto il mondo.

Il pacchetto è nascosto e inattivo per impostazione predefinita. Pertanto, l'applicazione deve essere attivata manualmente prima di poter essere sfruttata. Secondo iVerify, potrebbero esserci diversi modi per abilitare l'app. La stessa società di sicurezza ha studiato un modo effettivo per abilitare l'app. Ciò richiede l'accesso fisico a uno smartphone. Iverify non condivide i dettagli su come attivare l'app Questi sono resoconti pubblici.

Secondo la società di sicurezza, Showcase.apk è progettato per recuperare un file di configurazione tramite HTTP. Tra l'altro il file di configurazione può essere modificato prima che venga inviato al dispositivo della vittima, ha scritto Iverify. L'applicazione funziona a livello di sistema e quindi, quando effettivamente attivata, dispone di “privilegi di sistema profondi”.

Ciò include, ad esempio, le opzioni per l'esecuzione di codice remoto sul dispositivo in questione. “Se Showcase.apk è abilitato, il sistema operativo diventa accessibile agli hacker ed è pronto per attacchi man-in-the-middle, iniezione di codice e spyware”, ha scritto iVerify giovedì. L'azienda ha segnalato la vulnerabilità della sicurezza a Google lo scorso maggio. Rapporti sul sito web di Wired Technology.

In risposta a Wired, Google ha confermato che il pacchetto è stato creato per le demo del Verizon Store e non è più in uso. Il colosso della tecnologia non ha riscontrato alcun indizio che la vulnerabilità venga sfruttata attivamente. Google rimuoverà l'app da tutti i dispositivi Pixel. La società ha affermato che ciò avverrà “nelle prossime settimane” tramite un aggiornamento del software. La società non ha società pubbliche al momento in cui scrivo consultivo pubblicato. I tweaker hanno chiesto a Google ulteriori commenti.

Palantir, che ha contribuito a indagare sulla vulnerabilità, indica che eliminerà gradualmente i dispositivi Android internamente. “Google integra software di terze parti nel firmware Android e non lo rivela a fornitori o utenti crea un'enorme vulnerabilità per chiunque faccia affidamento su questo ecosistema”, ha affermato Dane Stuckey. Capo dell'Ufficio per la sicurezza delle informazioniP Da Palantir a Wired. Afferma che le interazioni con Google durante il periodo di divulgazione “hanno avuto un grave impatto sulla nostra fiducia nell'ecosistema”. “Per proteggere i nostri clienti, abbiamo dovuto prendere la difficile decisione di abbandonare Android nella nostra organizzazione.”