Bug nella lock-screen su Android 5.0 Lollipop scoperto e corretto da Google

Una vulnerabilità su Android 5.0 Lollipop consentirebbe a un malintenzionato di aggirare qualsiasi protezione impostata nella schermata di sblocco in maniera piuttosto semplice. Basta infatti semplicemente inserire una password lunga alcune decine di migliaia di caratteri, 160 mila nel caso sperimentato, per causare un crash nell'applicazione e garantire a chiunque l'accesso ai dati sensibili dello smartphone.

John Gordon ha spiegato nel dettaglio la vulnerabilità, la cui scoperta risale al 25 giugno e che è stata corretta da Google lo scorso 9 settembre dopo averne contrassegnato una priorità moderata. Il bug è stato reso quindi pubblico il 14 settembre, solo dopo il rilascio della build LMY48M di Android 5.1.1. Molte fonti hanno precisato che parecchi utenti potrebbero comunque essere ancora scoperti per via del ritardo con cui i produttori aggiornano i propri dispositivi. Il che è vero, ma solo in parte e per pochi casi isolati.

Per provocare il crash inatteso, Gordon ha semplicemente eseguito una chiamata d'emergenza, inserendo una sequenza di alcuni caratteri. Per velocizzare la procedura ha copiato e incollato la sequenza più volte, fino ad arrivare a circa 160 mila caratteri. Raggiunta la soglia, ha copiato l'intera stringa, aperto l'applicazione telecamera e, quando richiesta la password di sicurezza, ha incollato quanto presente negli appunti dello smartphone. In alcuni minuti il dispositivo si è riavviato autonomamente, lasciando all'utente libero accesso alla schermata Home.

Perché la procedura vada a buon fine, il dispositivo deve utilizzare il metodo di sblocco con password, quindi non con PIN o pattern. Solo nei dispositivi Nexus (o con ROM derivate dalla stock e poco modificate) è possibile incollare contenuti nel campo di testo della password, ed è quindi impossibile digitare un numero superiore di caratteri rispetto a quanti ne sono di fatto supportati. Galaxy S6, Moto G 2015 e LG G4 sembrano inviolabili da questo punto di vista, con la vulnerabilità che era presente sui Nexus, ma che è stata prontamente corretta prima di divenire pubblica.

Non ci sono quindi milioni di dispositivi Android vulnerabili in circolazione come scritto da parecchie fonti, né che ci troviamo di fronte ad una crisi sul fronte della sicurezza per il robottino verde. Semplicemente è stata trovata una vulnerabilità, ed è stata resa pubblica solo una volta che la minaccia è stata superata.