Vulnerabilitate pe Android, atenție la linkurile accesate

Se xperia arc, ics 4.0.4 – deschide dialer si asteapta sa Sun.

Galaxy S2, android 2.3.5 (sau .6), IMEI ca prin branza. Inclusiv cu firefoxul.
Toata stima pentru Opera, care refuza sa afiseze frame-ul (dar ofera optiunea ‘click to view’).
Mai bine puneai in loc de *#06# un *#SIMLOCK# (cat o fi codul), erau informatii mai interesante :-P.
Tocmai comentam cat de varza e iphone 5 (vis-a-vis de concurenta). Dar cu gogoasa asta o cam ia androidul rau in freza …

SGS3, soft original actualizat la zi, doar se deschide dialer-ul, atat in Chrome cat si in browser-ul standard.

@Alex:

LOL, toata stima pentru un browser care nu afiseaza un frame! =)) Codul in sine nu este mallware deci de ce stima pentru un browser care face asta? =))

Galaxy S cu Slim Bean 2.5, android 4.1, deschide dialer-ul cu *#06# completat

Xperia S, 4.0.4 Deschide dialerul si asteapta sa dau call.

@nashu: cred ca asa ziceau si microsoftistii cand era vorba de frame-uri cu file://con si bazaconii de astea; pe windozenii erau la moda acum cativa ani, speram ca androidul sa fi invatat ceva din greselile altora, dar se pare ca mai face si el dude

si daca mi se pare normal sa existe linkuri de genul tel:, pentru a putea suna direct (si ar fi frumos si ar fi si cazul sa ma intrebe daca sigur vreau sa fac operatiunea respectiva), in rest frame-uri care sa faca operatiuni automate care pot costa bani (sau date) nu ar trebui in nici un fel incarcate automat; chiar si daca nu ar fi fost posibil un ‘reset factory defaults’ tot ar fi fost o eroare mare, dar dupa cum arata, cel putin pe versiunile mai vechi de android, deja e eroare catastrofala, si sper sa scoata cat de curand niste update-uri pentru asa ceva

ziceam mersi ca am scapat de opera pe mobil, dar se pare ca voi trece (macar pentru o perioada) din nou la el ca default; cel putin pana nu descopera alte buguri de genul asta …

Alex,

Da, dar mergand pe ideea asta, ca e buna Opera ca nu afiseaza iframeuri si deci nu este vulnerabil, ar trebui sa stii ca cea mai sigura metoda este sa nu deschizi telefonul.

Vulnerabilitatea nu tine de browser ci mai degraba de dialer. Nu inteleg de ce trebuie sa fie o chestie automata dar, na, trebuie sa simta utilizatorul ca totul se face simplu. Oricum, chiar si daca te intreaba “Esti sigur ca vrei sa rulezi codul?”, cati crezi ca ar sti cum sa deosebeasca un cod ce ar putea sa le strice ceva?

@nashu: conteaza mai putin ca 50% din luzeri ar apasa pe ‘Yes’ fara sa se uite ca avertismentul era ‘Reset to factory defaults ?’; te-a mancat in fund si te-ai grabit sa dai click, suporti consecintele …

ideea este ca eu, chiar daca am cunostintele necesare, ma duc pe o pagina relativ normala si ma trezesc cu telefonul gol, fara sa ma intrebe cineva de sanatate (spre exemplu o pagina de stiri care a fost haxorita de baietii cu ochi albastri); am facut eu ceva gresit ? n-as prea zice, dar cu toate astea stau si fluier a paguba

in conditiile astea atunci da, mi se pare opera un browser mai safe (cel putin pentru particularitatea asta, ca o avea alte tone de buguri nedescoperite, asta e deja alta mancare de peste)

sau vorba ta, inchid telefonul si gata, nu mai am nicio problema; dar atunci ce-am facut ? am dat banii pe o caramida ?

Galaxy S – TWICS-UX ICS 4.0.4 – browser stock afiseaza direct imei.

Afiseaza si il ruleaza automat. Android 4.0.4 pe Samsung Galaxy S3. Ce e tare e ca intra intr-o bucla, pentru ca dand close la dialer face pop-up browserul care executa dialerul si tot asa.

@nwradu Pai nimic, doar ca ma tine bateria cam o zi. Vorbit in conditii normale, 3G si un pic de joc pe el.
Si faptul ca nu e brand.
In rest la nivelul meu de utilizare ma declar multumit, dar eu nu sunt pretentios de felul meu.
Daca ai vreo intrebare referitoare la el, zi-mi si-ti raspund.

Galaxy S2, 4.0.3 custom: imi afiseaza direct IMEI-ul, dau OK si imi deschide inca o data acelasi popup cu IMEI-ul.

Defy+, Android 2.3.6
A format codul direct.
A aparut fereastra cu IMEI-ul.

Nexus S cu 4.1.1 stock doar incarca combinatia de cifre in dialer

IMEI direct. HTC Sensation. Android 4.0.3, HTC Sense 3.6, Software nr 3.33.707.6

Galaxy Nexus, Chrome, Android 4.1.1, dechide dialerul cu codul si asteapta sa sun.
Galaxy Chat, Chrome, Android 4.0.4, deschide dialerul cu codul, dar nici dupa o secunda dispare numarul scris in dialer.

LG Optimus One, 2.2:

– browser stock:
1. prompt: complete action using (phone, messaging)
2. se deschide dialerul cu numarul completat si asteapta

– opera: nu incarca frame-ul respectiv

Frame-urile sunt de rahat si o groaza de vulnerabilitati au aparut din cauza lor! Daca pot sa folosesc un browser care le ignora sau le blocheaza nu mai stau pe ganduri.
Daca ai vreun site sau aplicatie cu frame-uri, sanatate, oricum sunt nerecomandate de foarte multi ani

nexus s
-cu dialer original afiseaza codu.
-folosind exdialer, o aplicatie de pe google play, il ruleaza automat si afiseaza imei
versiune 4.1.1

M-am grabit putin. se pare ca unii au raportat ca si s2-ul s-a resetat asa. In fine…

LG Optimus 2X, CM9 (Android 4.0) – afiseaza direct IMEI-ul, atat in exDialer cat si in Dialer-ul stock. Redirectionarea se face si din brwserul stock, si din firefox, din opera nu am incercat.

@Sabotor: Nu spune nimeni că neapărat codul ăla îți resetează telefonul. E super simplu să obții cu un script informațiile despre telefon și să afișezi în iframe dintr-o listă de coduri pentru toate modelele codul potrivit pentru vizitatorul respectiv.

@Flo
ma indoiesc ca orice telefon poate fi resetat cu un cod de genul #381763128#. Se poate la Samsung (cateva modele).

E mai aiurea insa ca se poate face un redirect (cu *21#numar# – si asta e valabil la orice telefon)… Insa solutie exista – sa nu mai apeleze direct dialerul numarul – si se pare ca e implementata odata cu noile update-uri. Dar na, lumea se sperie ca se poate face un wipe – inclusiv aia care n-au Samsung afectat de aceasta problema.

Pe HTC Desire HD (ICS, custom ROM) afiseaza direct IMEI.
Pe Samsung Galaxy Ace Plus, la fel.

De notat ca daca ai un alt dialer, intai te intreba ce dialer vrei sa folosesti, iar daca alegi altul decat cel stock, iti afiseaza codul si trebuie sa apelezi tu.

iPhone 4: afiseaza optiunea, nu executa direct, asteapta sa confirm.

Optimus One, custom rom bazat pe cm7, versiunea Android 2.3.7, accesat see you opera mini, imi arata direct IMEI.

HTC Desire S , Android 2.3.3 HTC Sense Version 2.1
Afiseaza direct IMEI

HTC Sensation, Android 4.0.3, HTC Sense 3.6 – se incarca dialer-ul si afiseaza IMEI-ul :-(

Wow … interesant , pe Galaxy S imi ruleaza automat , iar pe toate Xperia (X10i si Arc) imi apare *#06# pe dialer gata de “format” … nasol , ce sa zic