HTC Smartphones Links Kwetsbaar voor Bluetooth Attack

Heeft u een HTC-smartphone met Windows Mobile 6 of Windows Mobile 6.1, wil je misschien twee keer nadenken voordat je via Bluetooth verbinding maakt met een niet-vertrouwd apparaat. Een kwetsbaarheid in een HTC-stuurprogramma dat op deze telefoons is geïnstalleerd, kan een aanvaller toegang geven tot elk bestand op de telefoon of kwaadaardige code uploaden met Bluetooth, meldde een Spaanse beveiligingsonderzoeker dinsdag.

"HTC-apparaten met Windows Mobile 6 en Windows Mobile 6.1 zijn gevoelig voor een kwetsbaarheid van de directory-traversal in de Bluetooth OBEX FTP-service ", zei beveiligingsonderzoeker Alberto Moreno Tablado in een e-mailuitwisseling.

HTC-handsets met Windows Mobile 5 worden niet beïnvloed.

[Meer informatie: Hoe te verwijderen malware van uw Windows-pc]

Om te zorgen dat de aanval werkt, moet het doelapparaat Bluetooth hebben ingeschakeld en moet het delen van bestanden via Bluetooth zijn geactiveerd.

"Deze verbinding kan worden gemaakt door standaard Bluetooth-koppeling of door gebruik te maken van Bluetooth MAC spoofing-aanval, "zei Moreno Tablado, verwijzend naar een proces waarbij het aanvallende apparaat probeert het doelwit ervan te overtuigen dat het een ander apparaat is in de lijst van gepaarde apparaten.

De kwetsbaarheid van de directory-traversal laat een aanvaller door de Bluetooth gedeelde map van een telefoon bladeren naar andere mappen, waardoor ze toegang krijgen tot contactgegevens, e-mails, foto's of andere gegevens die op de telefoon zijn opgeslagen. Ze kunnen deze toegang gebruiken om bestanden te lezen of om software te uploaden, inclusief schadelijke code.

Gebruikers die zich zorgen maken over de kwetsbaarheid, moeten voorkomen dat hun telefoons worden gekoppeld aan een niet-vertrouwde handset of computer. Ze willen mogelijk ook alle apparaten verwijderen die al met hun telefoons zijn gekoppeld, zei hij.

Omdat de driver, obexfile.dll, een HTC-stuurprogramma is, worden alleen handsets van het bedrijf getroffen. HTC is echter 's werelds grootste fabrikant van Windows Mobile-handsets, verkoopt telefoons onder zijn eigen merk en maakt telefoons op contractbasis voor andere bedrijven. Dat betekent dat miljoenen gebruikers mogelijk kwetsbaar zijn.

Moreno Tablado heeft de kwetsbaarheid getest op een reeks HTC-telefoons, waaronder de Touch Diamond, Touch Pro, Touch Cruise, Touch Find, S710 en S740. "Het lijkt erop dat HTC deze driver, die kwetsbaar is, op alle apparaten met Windows Mobile 6 en Windows Mobile 6.1, als onderdeel van de Bluetooth-stack," zegt hij.

Moreno Tablado meldde voor het eerst de kwetsbaarheid voor Microsoft in Januari, in de overtuiging dat het probleem was geworteld in de Bluetooth-stack die werd gebruikt met Windows Mobile 6. Tablado openbaarde op dat moment geen technische details over de kwetsbaarheid, omdat het van mening was dat het een kritieke fout was die gebruikers in gevaar zou brengen als het werd bekendgemaakt.

Microsoft reageerde kort nadat het beveiligingslek aan hen was gemeld en zei dat ze hadden vastgesteld dat het probleem werd veroorzaakt door het HTC-stuurprogramma. Maar toen Moreno Tablado in februari de kwetsbaarheid voor HTC meldde, toonde de fabrikant van de handset "geen interesse", zei hij.

HTC en Microsoft konden niet meteen worden bereikt voor commentaar.

"Ik ben gedwongen om met iedereen openbaar te worden. de informatie omdat HTC niet de intentie had om een ​​beveiligingsfix uit te brengen, "zei Moreno Tablado, en gaf een link naar zijn blog, waar hij gedetailleerde informatie over het beveiligingslek geposteerde.

" Ik vermoed dat alle komende Windows Mobile 6.5-apparaten kwetsbaar zullen zijn ook als HTC de driver niet repareert, "zei hij.