Samsungin suosituissa Galaxy-sarjan puhelimissa on havaittu vakava tietoturva-aukko. Puhelin voidaan palauttaa tehdasasetuksille vain lataamalla nettisivu, joka sisältää sopivan koodinpätkän. Vika koskee tämän hetkisten tietojen perusteella ainakin Galaxy S III:a, Galaxy S II:a, Galaxy Beamia ja Galaxy Acea. Myös muiden TouchWiz-käyttöliittymään perustuvien Samsung-puhelinten omistajien on syytä olla tarkkana. Samsungin Galaxy Nexus -puhelin ei ole altis hyökkäykselle.
Päivitys: Vika tuntuisi vaivaavan puhelimia valikoivasti riippuen asennetuista päivityksistä ja käytetyistä sovelluksista. Tietoja vian yleisyydestä ja haavoittuvista puhelinmalleista on keräilty muun muasa XDA-Developers-sivuston keskutelussa.
Turva-aukko tuli julkisuuteen Ekoparty-tapahtumassa, jossa Ravi Borgaonkar esitteli löytämäänsä haavoittuvuutta yleisölle. Turva-aukko perustuu USSD-koodeihin, joilla puhelimen toimintoja voi suorittaa näppäilemällä numerovalitsimeen tiettyjä numerosarjoja. Pienellä koodinpätkällä puhelimelle saadaan nettisivun kautta syötettyä USSD-koodi, joka aiheuttaa puhelimen palautumisen tehdasasetuksille. Lisäksi USSD-koodi voidaan syöttää puhelimelle tekstiviestin välityksellä.
Käyttäjä voidaan huijata puhelimen tyhjentävälle verkkosivustolle esimerkiksi nettisivun automaattisesti avaavan NFC-tagin tai nopeasti yleistyneiden QR-koodien avulla. Kun puhelin on suorittanut koodin, käyttäjä voi vain katsella puhelimen uudelleenkäynnistymistä ilman mahdollisuutta estää tapahtumaa.
Ongelmaan ei ole tällä hetkellä olemassa korjausta. Samsungin Android-puhelinten omistajien kannattaa olla tarkkoja puhelimella avattavien URL-osoitteiden kanssa eikä puhelimella kannata avata QR-koodeista peräisin olevia nettisivustoja, joiden luotettavuudesta ei ole varma.
Tekstiviestin avulla tapahtuvan hyökkäyksen voi estää poistamalla käytöstä joidenkin palveluiden hyödyntämän Service Loading -asetuksen tekstiviestisovelluksen asetusvalikosta. Nettisivun kautta tapahtuvanhyökkäyksen voi mahdollisesti kiertää myös käyttämällä muita selaimia kuin Samsungin vakioselainta. Hyviä vaihtoehtoja ovat esimerkiksi työpöydiltä tutut Firefox ja Chrome.
Pyysimme Samsungilta kommenttia tilanteeseen. Päivitämme kommentteja uutiseen niiden saapuessa.
Alla olevalla videolla Ravi Borgaonkar esittelee haavoittuvuutta Ekoparty-tapahtumassa. Samsungin Galaxy S III:n tyhjennys tapahtuu videon loppupuolella.
Edit 25.9.2012 15:17: Lisätty maininta hyökkäyksen onnistumisesta myös tekstiviestin välityksellä.
Edit 26.9.2012 10:17: Samsungin mukaan ongelma on korjattu ainakin Galaxy S III -puhelimen uusimassa ohjelmistossa, jonka koontinumero on IMM76D.I9300XXBLH3. Päivitys on julkaistu jo aiemmin tässä kuussa, mutta jos päivitystä ei ole vielä asentanut, se onnistuu helposti etsimällä puhelimesta Asetukset -> Tietoja laitteesta -> Ohjelmistopäivitys -> Päivitä.
Silti raporttien mukaan ongelma on havaittu myös ainakin Galaxy S Advance -mallissa ja mahdollisesti myös muissa malleissa, mutta saatavilla ei ole tarkempia tietoja haavoittuvuudelle alttiista käyttöjärjestelmäversioista, joten käyttäjiä kehotetaan edelleen varovaisuuteen, kunnes tiedot tarkentuvat.
Tägit:
Samsung
Totuudentorvi (vahvistamaton) @ 25.9.2012 15:39
Lisätkää ihmeessä tuohon uutiseen tieto mikä löytyy alkuperäisestä engadgetin uutisesta, että hyökkäys onnistuu ainoastaan jos käytössä on Samsungin vakioselain.
Henkka @ (vahvistamaton) @ 25.9.2012 15:41
Ongelmaan ei ole tällä hetkellä olemassa korjausta.
(Samsungin Android-puhelinten omistajien kannattaa olla tarkkoja puhelimella avattavien (URL-osoitteiden) kanssa (eikä puhelimella kannata avata QR-koodeista peräisin olevia nettisivustoja), joiden luotettavuudesta ei ole varma)!.
Henkka @ (vahvistamaton) @ 25.9.2012 15:44
Samsung kehittämässä omaa selainta,hyvä vai huono asia?.
http://www.puhelinvertailu.com/uutiset....a_omaa_selainta
perhana @ 25.9.2012 15:54
Tähän nyt sitten kai sopii se niin usein kuultu kysymys....
mutta voiko sillä edes soittaa?
Tottudentorvi (vahvistamaton) @ 25.9.2012 16:27
"The Unstructured Supplementary Service Data (USSD) code (which we won't reproduce here) apparently only works on Samsung phones running Touchwiz, and only if you are directed to the dodgy destination while inside the stock browser (rather than Chrome, for example)".
http://www.engadget.com/2012/09/25/dirt...sung-hack-wipe/
Korjauksena toimii vakioselaimen vaihtaminen esim. Googlen Chrome selaimeen.
perhana @ 25.9.2012 17:13
@5
Eli tämäkö ei sitten ole Samsungin vika, koska se ilmenee ainoastaan samsungin omaa romia ja selainta käytettäessä?
ok...
Totuudentorvi (vahvistamaton) @ 25.9.2012 17:34
@6
Mitä v....a :D Enhän minä kirjoita etteikö se olisi Samsungin vika. Kunhan laitoin ohjeen millä ongelmasta pääsee eroon.
chatboy @ 25.9.2012 17:50
Ilmeisesti samsung ei uskonut Ravi B. bluffia, eli ei tahtonut maksaa tiedoista joten kaverin ei auttanut muu kuin odottaa jotain messutapahtumaa missä voi paljastaa kyseisen bugin.
user_org (vahvistamaton) @ 26.9.2012 00:02
@uutinen
>Käyttäjä voidaan huijata puhelimen tyhjentävälle verkkosivustolle
>esimerkiksi nettisivun automaattisesti avaavan NFC-tagin tai
>nopeasti yleistyneiden QR-koodien avulla.
Siis eikö linkkaaminen haitalliselle nettisivulle riitä, vaan pitää olla NFC ta QR tagi ?
Viserrys viestistä saa käsityksen että riittää että lataa sivun jossa vain mainittu soittolinkki, eli silloin yksikertaisinta on vain postata "hyvä" linkki, esim p.vertailuun, ja sinne tänne. muualle.
> Lisäksi USSD-koodi voidaan syöttää puhelimelle tekstiviestin
> välityksellä.
Eli vain lähetelle SMS viestit kohteille.
NFC tai 2D tagin toimittaminen kohteen luokse ehkä kaikkein vaivaloisinta.
heffez (vahvistamaton) @ 26.9.2012 17:01
sopivaa että suomen valtavirtamedia ei noteeraa tätä ollenkaan. auta armias jos kyse ois noksun puhelimista niin siitä ois jo iltalehessä ja kymppiuutisissa :D. Paska samsung
munkki666 @ 26.9.2012 17:33
senkun vaihtaa dialer softan niin on korjattu, selviää xda-developer sivustolta. ja selaimella ei ole väliä toimii kaikissa tuo koodinajo.