Samsung Tizen è pieno di vulnerabilità zero-day

Per ridurre la dipendenza da Google, Samsung ha scelto Tizen per alcuni suoi prodotti, tra cui i recenti smartwatch Gear S3. Un ricercatore di sicurezza israeliano ha scoperto però 40 vulnerabilità zero-day che possono essere sfruttate per ottenere il controllo dei dispositivi. Secondo Amihai Neiderman, il codice del sistema operativo è probabilmente il peggiore mai visto in circolazione.

Nei documenti pubblicati da WikiLeaks è descritto come la CIA può spiare le persone attraverso le smart TV di Samsung. Il tool funziona solo con i vecchi modelli e richiede l’accesso fisico per installare il malware tramite pen drive USB. Le vulnerabilità scoperte dal ricercatore permettono invece di eseguire attacchi da remoto, non solo contro milioni di smart TV recenti, ma anche contro smartwatch e smartphone (venduti in alcuni paesi). Il produttore coreano ha dichiarato che Tizen verrà inoltre utilizzato per i nuovi elettrodomestici smart. Ciò significa che il problema di sicurezza potrebbe aumentare in maniera esponenziale.

Tutte le vulnerabilità consentono di eseguire codice remoto, ma una di esse è particolarmente critica, in quanto è presente nell’app Tizen Store. Sfruttando il bug è infatti possibile inviare codice infetto ad una smart TV Samsung, eludendo il controllo di autenticità del software, e quindi eseguire qualsiasi azione con privilegi root. La maggior parte del codice sorgente di Tizen è derivato da Bada, ma le vulnerabilità sono state introdotte nel codice aggiunto negli ultimi due anni.

Neiderman ha scoperto errori di programmazione che nemmeno un principiante avrebbe commesso. Ad esempio, nel codice di Tizen è usata spesso la funzione strcpy() che nessuno usa più al giorno d’oggi, dato che non è previsto il controllo dello spazio necessario per scrivere i dati in memoria. In altre parti del codice, invece, non viene usata la crittografia SSL per garantire la sicurezza della connessione.

Dopo un primo tentativo andato a vuoto, il ricercatore ha ricevuto una risposta da Samsung in merito al problema segnalato diversi mesi fa. Il produttore ha promesso di analizzare e risolvere tutte le vulnerabilità nel più breve tempo possibile.