HTC si rifiuta di correggere la vulnerabilità FTP Bluetooth

I dispositivi HTC che eseguono Windows Mobile 6 e Windows Mobile 6.1 sono soggetti a una vulnerabilità di attraversamento delle directory nel servizio FTP Bluetooth OBEX. Sfruttare questo problema consente a un utente malintenzionato autenticato in remoto di elencare directory arbitrarie e scrivere o leggere file arbitrari, tramite un ../ in un percorso. Questo può essere sfruttato per l'esecuzione del codice scrivendo in una cartella di avvio. Abbiamo scritto di questa vulnerabilità a gennaio di quest'anno, ma da allora HTC non ha fatto nulla per risolverlo.

La vulnerabilità è in un driver di terze parti sviluppato da HTC e installato su dispositivi HTC che eseguono Windows Mobile, quindi la vulnerabilità riguarda specificamente solo i dispositivi HTC. I dispositivi HTC che eseguono Windows Mobile 3 non sono interessati perché il servizio FTP OBEX non è implementato in quella versione del sistema operativo. Altri fornitori di dispositivi Windows Mobile come ASUS, Samsung, LG non sono interessati.

L'unico requisito è che l'attaccante deve disporre dei privilegi di autenticazione e autorizzazione tramite Bluetooth. L'associazione con il dispositivo remoto dovrebbe essere sufficiente per ottenerlo; tuttavia, per evitarlo è possibile utilizzare attacchi più sofisticati, come lo sniffing dell'accoppiamento Bluetooth, il cracking del linkkey e lo spoofing dell'indirizzo BD_ADDR. I dispositivi devono avere il Bluetooth abilitato e il servizio Condivisione file tramite Bluetooth attivo quando viene eseguito l'attacco. Nel caso in cui l'attaccante sia riuscito a ottenere i privilegi appropriati, ulteriori azioni saranno trasparenti per l'utente.

Un utente malintenzionato che in precedenza possedeva diritti di autenticazione e autorizzazione tramite Bluetooth può eseguire tre azioni rischiose sul dispositivo:

1) Sfoglia le directory che si trovano al di fuori dei limiti della cartella condivisa predefinita

Un utente malintenzionato può scoprire la struttura del file system e accedere a qualsiasi directory al suo interno, tra cui:
– Il disco rigido flash
– La scheda di memoria esterna
– La memoria di massa interna, inclusa in specifici dispositivi HTC

2) Scarica file senza autorizzazione

Un utente malintenzionato può scaricare file sensibili che si trovano ovunque nel file system, ad esempio:
– immagini e documenti personali che si trovano in \Documenti o in qualsiasi altra directory
– Informazioni su contatti, calendario e attività che si trovano in \PIM.vol
– Cache Internet temporanea e cookie che si trovano in \Windows\Profili\guest\
– e-mail che si trovano in \Windows\Messaging

3) Carica file dannosi

Un utente malintenzionato può sostituire file eseguibili di terze parti o di sistema con file dannosi, nonché caricare trojan in qualsiasi punto del filesystem, come \Windows\Startup e, pertanto, verranno eseguiti al successivo avvio di Windows Mobile.

È possibile trovare un elenco di dispositivi HTC testati che si sono rivelati vulnerabili sono disponibili qui.

La vulnerabilità è stata rivelata per la prima volta il 2009/01/19 come problema relativo allo stack Bluetooth di Microsoft in Windows Mobile 6 Professional. Test successivi hanno dimostrato che anche diversi dispositivi Windows Mobile 6 Standard e Windows Mobile 6.1 Professional erano vulnerabili. Microsoft è stata contattata il 2009/01/22 e queste informazioni non sono state rese pubbliche perché gli ultimi telefoni cellulari prodotti erano vulnerabili.

Ulteriori indagini hanno dimostrato che il problema riguarda un driver di terze parti installato da HTC, questa vulnerabilità riguarda solo i dispositivi HTC e altri dispositivi Windows Mobile di altri fornitori non sono interessati.

HTC Europe è stata contattata dal 2009/02/09 e fornita di tutti i dettagli relativi allo sfruttamento del difetto. Tuttavia, non è noto che siano state rilasciate patch per questo difetto di sicurezza.

Questa vulnerabilità è una minaccia zero-day. Ciò significa che tutti i dispositivi spediti aggiornati (luglio 2009) potrebbero essere vulnerabili.

La mitigazione da parte degli utenti consisterebbe nel non accettare richieste di abbinamento o connessione da fonti sconosciute ed eliminare le vecchie voci nell'elenco dei dispositivi accoppiati.

Per saperne di più Packetstormsecurity qui.