Telefony HTC z Androidem ujawniają hasło do WiFi

Według wyników eksperymentów opisanych na jednym z blogów, zidentyfikowano zagrożenie dla haseł WiFi przechowywanych na telefonach HTC z Androidem.

Aplikacje, posiadające dostęp do usługi WiFi (uprawnienie android.permission.ACCESS_WIFI_STATE), mogą zapytać system operacyjny o hasło sieci. W przypadku większości aparatów odpowiedzią na to pytanie będzie puste pole lub znak „*” oznaczający, że hasło istnieje, ale nie zostanie w ten sposób ujawnione. Jednak w przypadku telefonów HTC użycie metody .toString() klasy WifiConfiguration podaje w odpowiedzi pełne dane sieci, włączając w to hasło w jawnej formie.

Umożliwia to atakującemu stworzenie aplikacji, która pobierze hasło do sieci WiFi i wyśle je poprzez internet swojemu twórcy. Odkrywca błędu powiadomił zarówno Google jak i HTC. Google zweryfikowało, że obecnie w Android Markecie nie ma aplikacji wykorzystujących ten błąd a HTC opracowało aktualizacje systemu, usuwające zagrożenie.