HTC přiznává chybu v zabezpečení, slibuje OTA aktualizaci
Karel Kilián
Společnost HTC uznala chybu v zabezpečení některých svých zařízení, o které informoval server Android Police spolu s objevitelem Trevorem Eckhartem (informovali jsme v dnešním článku Závažná bezpečnostní díra v telefonech HTC). Zmíněná chyba dovoluje aplikaci, která má práva pouze na přístup k Internetu, připojení k službě HtcLoggers a získání informací a údajů, ke kterým by za normálních okolností měly přístup pouze programy s výrazně vyššími systémovými právy. Tato data zahrnují historii volání, seznam uživatelských účtů včetně e-mailových adres, SMS, systémové logy, GPS údaje a další.
HTC dodalo, že již pracuje na softwarové opravě pro postižená zařízení, a po krátkém testovacím období ji dá k dispozici formou OTA (“over the air”) aktualizace.
Veřejné prohlášení HTC:
HTC bere velmi vážně tvrzení týkající se bezpečnosti našich produktů. Během probíhajícího vyšetřování jsme dospěli k závěru, že ačkoli software HTC sám o sobě neohrožuje údaje zákazníků, je zde chyba zabezpečení, která by mohla být zneužita nebezpečnými aplikacemi třetích stran. … Dosud nemáme informace o žádných zákaznících, kteří by byli tímto způsobem postiženi, a chceme tomu zabránit varováním před touto potenciální zranitelností.
HTC připravuje a rychle uvolní aktualizaci, která vyřeší problém na postižených zařízeních. Po krátkém testování s našimi obchodními partnery bude záplata odeslána formou OTA zákazníkům, kteří budou upozorněni, ke stažení a instalaci. Naléhavě žádáme všechny uživatele, aby instalaci aktualizace provedli hned. Během této doby, jako vždy, důrazně žádáme zákazníky, aby dbali opatrnosti při stahování, používání, instalaci a aktualizaci aplikací z nedůvěryhodných zdrojů.
Oceňujeme snahu HTC, které se očividně snaží vyřešit situaci rychle. Můžeme ale jen spekulovat, zda záplata pouze nasadí nějakou formu autentizace při přístupu ke službě HTCLogger, ale nechá ji pokračovat ve sběru citlivých údajů, které jsou následně odesílány HTC a/nebo operátorům.
Otázkou dále zůstává, co má znamenat VNC server, umožňující vzdálený přístup na postižená zařízení, aniž by bylo deklarováno, za jakých podmínek a jakým způsobem je možné ho spustit a připojit se k němu.
Zdroj: Android Police
Marek Houser
Lukáš Altman
Jakub Kárník
Pavel Zaněk
Jana Skálová
Libor Foltýnek
Komentáře (2)
Přidat komentář