ค้นพบช่องโหว่สำคัญในมือถือ HTC บางรุ่น (EVO 3D, EVO 4G, Thunderbolt)

By: mk
FounderAndroid
on 2 October 2011 - 23:34 Tags:
Topics: 
Security
HTC
Android
Node Thumbnail

ทีมงานเว็บไซต์ Android Police ค้นพบช่องโหว่ในมือถือ HTC บางรุ่น (ที่ยืนยันตอนนี้ได้แก่ EVO 3D, EVO 4G, Thunderbolt ส่วนรุ่นอื่นๆ ยังไม่ยืนยัน ซึ่งน่าจะรวม Sensation ด้วย)

ช่องโหว่นี้เกิดจากระบบการเก็บ log ภายในมือถือของ HTC (ไม่มีใน stock Android) ซึ่งหวังดีเก็บข้อมูลหลายอย่างของมือถือ สำหรับดีบั๊กและตรวจสอบระบบ (ในกรณีส่งเครื่องซ่อม) แต่กลับมีช่องโหว่ว่า แอพที่ขอสิทธิ android.permission.internet (ซึ่งเป็นสิทธิที่พบได้ทั่วไปในแอพปกติ) กลับสามารถเข้าถึงข้อมูลเหล่านี้ที่อยู่บนเครื่องมือถือได้ (รายละเอียดแบบยาวมากๆ อ่านตามลิงก์ที่มา)

ทาง Android Police ได้ทดลองสร้างแอพเพื่อยืนยันช่องโหว่นี้ (proof of concept) และทำงานได้จริงบน HTC EVO 3D ตอนนี้ทาง HTC รับทราบปัญหาแล้ว ผู้ที่ใช้มือถือเหล่านี้ก็คงต้องติดตามข่าวกันต่อไป

ที่มา - Android Police

Get latest news from Blognone

Comments

By: lancaster
Contributor
on 2 October 2011 - 23:46 #339898

จงใช้ cyanogen!

By: modeQ
WriterIn Love
on 3 October 2011 - 00:03 #339907

O_O

Writer no.59 เพื่อสังคมแห่งการแบ่งปันความรู้

By: pongmile
ContributorAndroidSymbianWindows
on 3 October 2011 - 00:11 #339910
pongmile's picture
  • -* เสียวๆนะเนี่ย ใช้ Sensation อยู่ด้วย
By: peakna
Android
on 3 October 2011 - 00:41 #339921
peakna's picture

อ่านแล้วผมงงเองหรือป่าวเข้าใจเป็นว่าสามารถทำให้แอปลิขสิทธ์ใช้งานได้ฟรี ขออภัยด้วยครับท่าเข้าใจผิดมึนๆ

By: PaPaSEK
ContributorAndroidWindowsIn Love
on 3 October 2011 - 01:02 #339930 Reply to:339921
PaPaSEK's picture

ไม่ใช่แบบนั้นครับ

บนแอนดรอยด์แอพจะต้องขอสิทธิในการเข้าถึงทรัพยากรในส่วนต่างๆ ซึ่ง hTC เก็ย log file ไว้ในเครื่องซึ่งควรจะเก็บเอาไว้ในส่วนที่แอพทั่วไปไม่สามารถเข้าถึงได้

แต่คราวนี้กลับปล่อยให้แอพที่ขอสิทธิใช้เน็ตเวิร์คเจ้าถึงไฟล์ในส่วนที่ว่านี้ได้

นั่นหมายถึงว่าเราสามารถเขียนแอพขึ้นมาดูด log เอาไปอ่านได้ครับ (แล้วก็ส่งกลับผ่านสิทธิดังกล่าว)

By: wichate
Android
on 3 October 2011 - 09:26 #339968 Reply to:339930

^
ผมว่าเขาตั้งใจทำมาแบบนั้นหรือป่าวครับ เพื่อส่ง log กลับมาที่ HTC เอง

ไม่ใช่ช่องโหว่หรอก แต่เป็นประตูลับ อิอิ..

By: PaPaSEK
ContributorAndroidWindowsIn Love
on 3 October 2011 - 10:16 #339981 Reply to:339968
PaPaSEK's picture

ประตูไปที่ไหนก็ได้?

By: neonicus
Android
on 3 October 2011 - 12:48 #340036

htc จะทำแบบที่ข้างบนว่าไปทำไม
ในเมื่อ sense ui มีสิทธิ์แทบทุกอย่างของเครื่อง
สั่งล๊อคสั่งwipeเครื่องได้ง่ายๆ ผ่านเน็ต
แล้วเรื่อง log นี่ต้องแอบด้วยappอื่นอีกทำไม
แอบทำที่ sense ui เองเลยจะง่ายและปลอดภัยกว่านะครับ

By: Hilcrhyme
iPhoneWindows PhoneAndroidBlackberry
on 3 October 2011 - 14:57 #340083

รู้สึกจะเป็นเครื่องEVO3D CDMAของSprintน่ะครับEVO3Dบ้านเราสบายใจได้

By: aga2405
Windows PhoneAndroidSymbian
on 3 October 2011 - 19:19 #340173

ว้าวใช้อยู่พอดี ใน Manifest

By: criminals
iPhoneWindows PhoneAndroidUbuntu
on 4 October 2011 - 00:18 #340245

อ่านตอนแรกงงๆว่า เกี่ยวอะไรกับพอร์ท Thunderbolt อ่านไปอ่านมา อ๋อออ มันคือชื่อรุ่นของมือถือ HTC -*-

By: magnamonkun
WriterAndroidWindows
on 6 October 2011 - 13:18 #341836 Reply to:340245
magnamonkun's picture

Thunderbolt ของ HTC ออกก่อน Thunderbolt ของ Intel+Apple นะครับ 555+