Android Jelly Bean (4.3), un exploit può rimuovere il blocco di sicurezza

Ancora problemi di sicurezza per Android. Questa volta a farne le spese, a causa di un exploit, è la versione Jelly Bean del sistema operativo targato Google.
La società di sicurezza informatica tedesca Curesec ha scoperto un bug all’interno di una parte del codice del sistema operativo relativo alla classe “com.android.settings.ChooseLockGeneric” che permette la scelta, da parte dell’utente, della modalità d’inserimento del blocco di sicurezza del proprio smartphone. 

Un esempio è la modifica del nostro PIN per lo sblocco della protezione e che prevede l’inserimento del vecchio codice. Un cybercriminale, grazie ad un’applicazione specifica, sfruttando questa vulnerabilità è in grado di rimuovere il blocco del device e rubare codice PIN e password.

La Curesec ha informato il Team Android agli inizi dello scorso Ottobre. Dopo una prima email di risposta da parte dei ricercatori della Google, sono seguite altre tre email inviate dalla società di ricerca tedesca, ma il silenzio da parte dell’azienda americana e il mancato rilascio di un patch ha spinto la Curesec a rendere pubblica la vulnerabilità.

La Curesec ha reso disponibili un’applicazione in grado di bypassare il blocco di sicurezza e il sorgente del codice https://cureblog.de/2013/11/cve-2013-6271-remove-device-locks-from-android-phone/