Google corregge un grave bug di Android

Il telefono G1 di T-Mobile, il primo ad adottare la piattaforma Android, soffre di un bug che non ha mancato di inquietare gli animi di molti possessori del succitato gioiellino (e non solo): qualunque parola, scritta tramite la tastiera, all’interno di qualunque applicativo, viene silentemente e invisibilmente interpretata come comando di sistema ed eseguita con privilegi di amministratore. La stranezza è confermata nel firmware versione RC29 per il telefonino, mentre non sembra affliggere la versione RC19; Google ha comunque rilasciato l’aggiornamento RC30, in grado di correggere il problema alla radice.

«Ero nel bel mezzo di una conversazione testuale con la mia ragazza quando lei mi ha chiesto perché non avessi risposto», racconta jdhorvat all’interno di Google Code. «Avevo appena fatto il reboot del mio telefono e la prima cosa che ho scritto come risposta alla sua domanda è stato il testo “Reboot” – il che, con mia gran sorpresa, ha portato al reboot del mio telefono». «È un problema veramente imbarazzante», ha dichiarato il ricercatore indipendente esperto di sicurezza informatica Charlie Miller, già scopritore della falla di sicurezza nel browser di Android, «è qualcosa che è stato utilizzato e che probabilmente si sono dimenticati di disattivare».

Paradossalmente, è possibile sfruttare il bug proprio per disattivare l’interpretazione delle parole scritte da tastiera: è sufficiente infatti digitare “-c-a-t-“ per disabilitare la shell fantasma, ed impedire così che le parole digitate vengano interpretate come comandi di linea ed eseguiti, con esito imprevedibile.

Per certi versi la vulnerabilità assomiglia non poco a quella scoperta ai tempi su Windows Vista: la “speech recognition” funzionava senza filtri ed il sistema obbediva anche a comandi involontari. «Se non è un exploit serio questo, non so quale lo sia» sosteneva ai tempi lo scopritore del bug George Ou.