Amazon Kindle: vulnerabilità scoperte e risolte

Amazon Kindle: vulnerabilità scoperte e risolte

CheckPoint Research ha scoperto due vulnerabilità in Amazon Kindle che sono state risolve con il nuovo firmware distribuito nel mese di aprile.
CheckPoint Research ha scoperto due vulnerabilità in Amazon Kindle che sono state risolve con il nuovo firmware distribuito nel mese di aprile.

Gli esperti di CheckPoint Research hanno scoperto due vulnerabilità in Amazon Kindle che potevano essere sfruttate per trasformare il dispositivo in un bot, accedere alla rete privata o rubare le informazioni sull’account di fatturazione. Fortunatamente il problema di sicurezza è stato risolto con il firmware 5.13.5 distribuito ad aprile.

Nessun antivirus rileva gli e-book infetti

CheckPoint Research spiega che l’eventuale attacco contro specifici obiettivi potrebbe essere effettuato mediante la distribuzione di un e-book gratuito (su Kindle store o altri servizi). Durante i test è stato utilizzato un libro in formato PDF per studiare il codice delle funzionalità di parsing e rendering. I ricercatori hanno quindi scoperto le vulnerabilità indicate con CVE-2021-30354 e CVE-2021-30355. Quest’ultima, in particolare, consentiva l’esecuzione di codice remoto con permessi di root (il sistema operativo dei Kindle è basato su Linux).

Gli utenti dovevano solo aprire l’e-book per attivare l’exploit. Dopo aver ottenuto l’accesso al dispositivo, i malintenzionati potevano eseguire diverse operazioni, tra cui la cancellazione dei libri digitali e il furto dei dati dell’account. CheckPoint Research sottolinea che nessun antivirus può rilevare un e-book contenente malware.

Amazon ha ricevuto informazioni dettagliate sulle due vulnerabilità nel mese di febbraio. L’aggiornamento del firmware è stato rilasciato circa due mesi dopo. Gli utenti non devono fare nulla perché l’installazione avviene automaticamente quando il Kindle è connesso ad Internet.

Yaniv Balmas, Head of Cyber Research di Check Point Software Technologies, ha dichiarato:

Abbiamo trovato delle vulnerabilità in Kindle che avrebbero permesso ad un hacker di prendere il pieno controllo del dispositivo. Inviando agli utenti Kindle un semplice e-book dannoso, un hacker avrebbe potuto rubare qualsiasi informazione memorizzata sul dispositivo, dalle credenziali dell’account Amazon alle informazioni di fatturazione. Kindle, come altri dispositivi IoT, sono spesso considerati innocui e sottovalutati dal punto di vista della sicurezza. Però la nostra ricerca dimostra che qualsiasi dispositivo elettronico è una sorta di computer. E come tali, questi dispositivi IoT sono vulnerabili agli stessi attacchi.

Link copiato negli appunti

Ti potrebbe interessare

Pubblicato il 10 ago 2021
Link copiato negli appunti