Markus Lehtiniitty
31. joulukuuta, 2008 10:12
Nokian S60-alustalla varustetuista älypuhelimista on paljastunut vakava haavoittuvuus. Lähettämällä S60-puhelimeen ylipitkän viestin, saadaan puhelin haavoitettua niin, että se enää kykene vastaanottamaan teksti- tai multimediaviestejä. Haavoittuvuus paljastettiin 25. CCC-hakkerikonferenssissa.
Paljastuneelle haavoittuvuudelle on annettu nimeksi "Curse of Silence" ja sitä on tutkinut Tobias Engel.
Haavoittuvuuden kerrotaan koskevan S60-alustan versioita 2.6, 2.8, 3.0 ja 3.1. Harvemmin käytetyt versionumerot kääntyvät useammin käytetyiksi sanallisiksi versiokuvauksiksi (samassa järjestyksessä) 2nd Edition Feature Pack 2, 2nd Edition Feature Pack 3, S60 3rd Edition ja S60 3rd Edition Feature Pack 1. Haavoittuvuus koskee siis kaikkiaan kymmeniä eri puhelinmalleja.
Versioilla 2.6 ja 3.0 varustettujen puhelinten viestisovellus lakkaa heti ottamasta vastaan viestejä ensimmäisen niihin lähetetyn, tietyllä tavalla muotoillun ylipitkän viestin jälkeen. Käyttäjä ei saa tästä mitään ilmoitusta - ainoastaan puhelin ei enää ota vastaan uusia viestejä.
Versioilla 2.8 ja 3.1 varustettuihin puhelimiin joudutaan lähettämään 11 ylipitkää viestiä, jonka jälkeen puhelimen mukaan viestimuisti on täynnä ja viestejä pitäisi poistaa. Viestien poistaminen ei kuitenkaan tuo ratkaisua ongelmaan.
Nokia ei ole toistaiseksi kommentoinut asiaa eikä toistaiseksi ole julkistettu ohjelmistopäivityksiä, jotka korjaisivat tämän ongelman.
Yksi keino puhdistaa haavoittunut puhelin on sen palauttaminen alkuperäiseen tilaan eli ns. resetointi, jolloin puhelimesta katoavat kaikki siihen tallennettuna olleet tiedot. Varmuuskopiointi ei ole kaikilta osin mahdollista sillä myös haavoittuneet viestit ja haavoittuvuuden aiheuttamat tuhot viestisovelluksessa varmuuskopioituisivat samalla. F-Secure kuitenkin kertoo myös, että sen Mobile Security -tietoturvasovellus pystyy korjaamaan haavoittuneet puhelimet.
F-Securen mukaan myös Sony Ericssonin UIQ-alustan puhelimet ovat vastaavalla tavalla haavoittuvia.
Alla olevassa videossa esitellään haavoittuvuutta: