Nokia ammette i difetti di sicurezza nel sistema operativo serie 40

Nokia ha confermato giovedì che il suo sistema operativo Serie 40, ampiamente utilizzato, presenta vulnerabilità di sicurezza che potrebbero consentire l'installazione invisibile e l'attivazione delle applicazioni.

Ma la società ha evitato di pagare € 20.000 (US $ 29.500) al ricercatore Adam Gowdiak di Security Explorations, "Per ovvi motivi di sicurezza, non faremo ulteriori commenti sui dettagli delle nostre attività con Security Explorations", ha scritto la portavoce di Nokia Kaisa Hirvensalo, in una e-mail.

[Ulteriori letture: Come rimuovere il malware dal PC Windows]

Gowdiak, un ricercatore in Polonia, ha detto all'inizio di questo mese di aver riscontrato problemi con Java 2 Micro Edition (J2ME), un framework di applicazioni per vizi, così come il sistema operativo serie 40. Nokia sostiene che la serie 40 è la piattaforma per dispositivi mobili maggiormente diffusa.

Gowdiak ha svolto ricerche sulla Java Virtual Machine e ha scritto sul suo sito Web che ha lavorato contemporaneamente per il suo sviluppatore, Sun Microsystems.

I venditori di solito guidano evitando di pagare ai ricercatori informazioni sulla vulnerabilità e in alternativa incoraggiare ciò che definiscono "divulgazione responsabile" o una notifica discreta prima che le informazioni sulla vulnerabilità siano rese pubbliche. In caso contrario, gli utenti di un determinato software sono a rischio mentre un fornitore tenta di sviluppare una patch.

Nokia ha dichiarato che alcuni dei suoi prodotti Series 40 sono vulnerabili a un attacco che potrebbe comportare l'installazione segreta delle applicazioni. La società ha affermato di aver trovato anche versioni precedenti di J2ME che potrebbero consentire l'escalation dei privilegi o l'accesso alle funzioni del telefono che dovrebbero essere limitate.

"I nostri test si sono concentrati su prodotti che potrebbero presentare entrambe le attestazioni", secondo un Nokia

Nokia ha detto che non è a conoscenza di attacchi contro dispositivi della serie 40, e che i problemi non rappresentano un "rischio significativo".

Mentre i dettagli sulle vulnerabilità sono limitati, Gowdiak ha detto che un attacco potrebbe essere montato inviando messaggi maliziosamente creati a un determinato numero di telefono.

Non è stato possibile raggiungere immediatamente Gowdiak per un commento.