Nokia geeft beveiligingsfouten in serie 40 OS

Nokia heeft donderdag bevestigd dat het veel gebruikte Series 40-besturingssysteem beveiligingskwetsbaarheden heeft die stealth-installatie en activering van applicaties mogelijk zouden maken.

Maar het bedrijf ontwijkde of het € 20.000 (US $ 29.500) betaalde aan onderzoeker Adam Gowdiak van Security Explorations, die betaling wilden voor moeite die werd besteed aan het vinden van de fouten.

"Om voor de hand liggende redenen van beveiliging, zullen we niet verder ingaan op de details van onze activiteiten met Security Explorations," schreef Nokia woordvoerster Kaisa Hirvensalo, in een e-mail.

[Meer informatie: Hoe malware van uw Windows-pc te verwijderen]

Gowdiak, een onderzoeker in Polen, zei eerder deze maand dat hij problemen had met Java 2 Micro Edition, (J2ME) een toepassingskader voor mobiel ondeugden, evenals het Series 40 OS. Nokia beweert dat Series 40 het meest gebruikte mobiele apparaatplatform is.

Gowdiak heeft onderzoek gedaan naar de Java Virtual Machine en op zijn website geschreven dat hij in één keer werkte voor zijn ontwikkelaar, Sun Microsystems.

Leveranciers sturen doorgaans vrij van betalende onderzoekers voor informatie over kwetsbaarheden en als alternatief aanmoedigen wat zij term "verantwoordelijke openbaarmaking" noemen, of een afzonderlijke kennisgeving voordat kwetsbaarheidsinformatie openbaar wordt gemaakt. Anders lopen gebruikers van een bepaalde software een risico terwijl een leverancier probeert een patch te ontwikkelen.

Nokia zei dat sommige van zijn Series 40-producten kwetsbaar zijn voor een aanval die kan leiden tot de geheime installatie van applicaties. Het bedrijf zei ook te hebben vastgesteld dat eerdere versies van J2ME een escalatie van bevoegdheden of toegang tot telefoonfuncties zouden kunnen toestaan ​​die moeten worden beperkt.

"Onze testen waren gericht op producten die beide claims kunnen bevatten," aldus een Nokia verklaring.

Nokia zei dat het niet op de hoogte is van aanvallen op Series 40-apparaten en dat de problemen geen "aanzienlijk risico" vormen.

Hoewel de details over de kwetsbaarheden beperkt zijn, heeft Gowdiak gezegd dat een aanval kan worden gemonteerd door kwaadwillig vervaardigde berichten naar een bepaald telefoonnummer te verzenden.

Gowdiak kon niet onmiddellijk worden bereikt voor commentaar.