http://1.bp.blogspot.com/-1N8eIQ64Lg4/VE_h60K_nnI/AAAAAAAABt4/k2XdU--Qau4/s1600/Samsung_Galaxy_s5.jpg

Se ha anunciado una vulnerabilidad en la función “Find my mobile” de Samsung que podría permitir a un atacante remoto activar sus funcionalidades, de forma que podría hacer que suene o bloquearlo (con un código arbitrario).

La función “Find my Mobile” implementada por Samsung en sus dispositivos es un servicio web que proporciona a los usuarios de dispositivos Samsung características para localizar un dispositivo perdido o robado. Esta utilidad incluida también por otros fabricantes (como Apple o Microsoft), permite hacer sonar el dispositivo remoto, borrar su contenido o bloquearlo de forma remota para que nadie más puede conseguir acceso al dispositivo perdido.

El problema, descubierto por Mohamed A. Baset (@SymbianSyMoh), reside en una vulnerabilidad de Cross-Site Request Forgery (CSRF), que podría permitir a un atacante bloquear el dispositivo con un código de su elección. Básicamente, el atacante utilizará el ataque CSRF para engañar al usuario para acceder a un enlace o url que contiene peticiones maliciosas o no autorizadas. El atacante podrá llegar a bloquear el móvil del usuario con un código de su elección, lo que forzaría al usuario a realizar una recuperación del código de bloqueo a través de su cuenta Google.

El enlace malicioso tiene los mismos privilegios que el usuario autorizado para llevar a cabo una tarea no deseada en el nombre de la víctima. Las vulnerabilidades de Cross-site Request Forgery (CSRF) permiten a un atacante ejecutar funcionalidades de una web determinada a través de la sesión  activa en esa web de otro usuario.
El investigador ha proporcionado pruebas de concepto en forma de vídeos que detallan como llevar a cabo el ataque y los efectos que puede tener. Se ha asociado el CVE-2014-8346 a esta vulnerabilidad.

 

https://www.youtube.com/watch?v=YufuOYQoDOY

 

https://www.youtube.com/watch?v=Q3adkpOEjyI

Más incormación:

Vulnerability Summary for CVE-2014-8346

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-8346

Samsung FindMyMobile Service Vulnerabilities Demonstration

https://www.youtube.com/watch?v=YufuOYQoDOY

Samsung FindMyMobile Service Vulnerabilities Demonstration Live

https://www.youtube.com/watch?v=Q3adkpOEjyI

 

Autor:

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero

 

Fuente: http://unaaldia.hispasec.com/2014/10/find-my-mobile-de-samsung-permite-un.html

Fox TroopMóviles & AppsSeguridadbloquearlo,Find my mobile,SamsungSe ha anunciado una vulnerabilidad en la función 'Find my mobile' de Samsung que podría permitir a un atacante remoto activar sus funcionalidades, de forma que podría hacer que suene o bloquearlo (con un código arbitrario). La función 'Find my Mobile' implementada por Samsung en sus dispositivos es un servicio...comunidad virtual para compartir y difundir: información, conocimiento y experiencias relacionadas con las Tecnologías de la Información y la Comunicación.