Een Duitse beveiligingsonderzoeker heeft een lek in Android smartphones ontdekt, waardoor aanvallers de inhoud van SD-kaarten kunnen stelen. Ook andere informatie en bestanden op de telefoon zelf zouden voor een aanvaller toegankelijk zijn. Thomas Cannon ontdekte tijdens een security assessment dat het voor een website mogelijk is om toegang tot de SD-kaart te krijgen.

“Ik kwam achter deze kwetsbaarheid toen ik bezig was met onafhankelijk onderzoek en een JavaScript-based demo aan het schrijven was, om een zwakheid aan te tonen in de manier waarop sommige applicaties data delen via Android's Content Providers. Ik was verrast dat een HTML-pagina met JavaScript de content providers kon doorzoeken. Ik bedacht dat dit ook aangevraagd kon worden door een kwaadwillende website", aldus de onderzoeker.

JavaScript
Het probleem wordt door verschillende factoren veroorzaakt, bijvoorbeeld het ontbreken van een waarschuwing tijdens het downloaden van bestanden via de Android browser. Daardoor is het mogelijk om via JavaScript de inhoud van een kwaadaardige pagina automatisch uit te voeren, zonder dat de gebruiker een waarschuwing krijgt. Een aanvaller moet wel de locatie van de te stelen bestanden weten, maar veel programma’s bewaren die in een standaard locatie.

De kwetsbaarheid lijkt voor alle versies van Android te gelden, zelfs de huidige versie 2.2 (Froyo). Cannon demonstreerde de kwetsbaarheid door de content van een bestand uit de hoofd directory van een SD-kaart te kopiëren naar zijn server. Al wat gedaan werd, was klikken op een link via de Android browser. De server van Cannon stuurde vervolgens een HTML-bestand met JavaScript naar de browser van de Android, waarna het lokale rechten krijgt en automatisch het bestand uploadt naar Cannons server. Er worden geen waarschuwingen gegeven indien een dergelijke aanval wordt uitgevoerd.

Cannon waarschuwde op 19 november Google, dat binnen 20 minuten reageerde. De zoekgigant wil het probleem in Android 2.3 (Gingerbread) oplossen. Een patch is inmiddels al klaar, maar wordt nog geevalueerd. Toch besloot Cannon tot een gedeeltelijke disclosure over te gaan, zodat gebruikers zich kunnen beschermen. Dat kan alleen door JavaScript in de browser uit te zetten.