Mail fallata su Android 4.2.2.0200 Jelly Bean, rischio DoS Un errore nel codice del client di posta può determinare la chiusura dell'applicazione e l'impossibilità di riaprirla

<span class="entry-title-primary">Mail fallata su Android 4.2.2.0200 Jelly Bean, rischio DoS</span> <span class="entry-subtitle">Un errore nel codice del client di posta può determinare la chiusura dell'applicazione e l'impossibilità di riaprirla</span>

I ricercatori di sicurezza informatica Hector Marco e Ismael Ripoll hanno rilevato un bug che affligge tutte le versioni di Android fino alla 4.2.2.0200, e che permette ad un attaccante di impedire alla vittima l’accesso al client di posta di default (Email) inviando una email malevola. Perchè il bug si attivi, di fatto, è sufficente che la vittima scarichi un messaggio di posta, contenente un’intestazione con un semplice punto e virgola all’interno dell’header, per il campo Content-Disposition:

Content-Disposition: ;

senza neanche bisogno di aprirlo. Il problema riguarda qualsiasi indirizzo di posta, sia esso aziendale (nome@azienda.est) o di un servizio gratuito (Gmail, Libero, Yahoo ecc.). Nella proof of concept pubblicata nel sito hmarco.org si mostra come Email si blocchi alla ricezione dell’allegato in questione senza dare ulteriori possibilità di riaprire il programma. Per aggirare il problema, è necessario cancellare l’allegato malevolo restando sconnessi da internet, oppure accedendo via web all’account di posta, e cancellando manualmente la mail in questione. Tuttavia questa è solo una misura di sicurezza parziale, perchè non ci rende immuni al bug in questione.

L’errore che appare e dovrebbe farci insospettire è di questo tipo:

email_crash1

Per risolvere il problema è necessario aggiornare almeno alla versione Android 4.2.2.0400, versione a partire dalla quale l’attacco non è da considerarsi a rischio. Purtroppo, le politiche interne del sistema non permettono su qualsiasi dispositivo l’update in questione, a meno di installare per forza di cose una ROM rootata (il che come sappiamo fa perdere la garanzia sul prodotto, ed introduce potenziali rischi di escalation privilege per gli utenti meno esperti). Il bug è stato testato su un Samsung Galaxy 4, ed è stato classificato come CVE-2015-1574 e maggiori informazioni sono disponibili cercando questa sigla su Google.

Tophost
Ti piace questo articolo?

0 voti

Su Trovalost.it puntiamo sulla qualità dei contenuti da quando siamo nati: la tua sincera valutazione può aiutarci a migliorare ogni giorno.

Ti potrebbero interessare (Sicurezza informatica):

Cerca altro nel sito

Clicca sul box, e scegli la sezione per vederne i contenuti.