L'app Android SHAREit contiene alcune pericolose vulnerabilità

Gli esperti di Trend Micro hanno individuato alcune gravi vulnerabilità nell’app Android SHAREit, un noto strumento che permette di trasferire i dati da uno smartphone all’altro.

Il problema di fondo è che chiunque può interagire con le routine alla base di SHAREit per effettuare modifiche sulla configurazione del dispositivo mobile e delle altre app. È ad esempio possibile inviare comandi a SHAREit per eseguire codice arbitrario, sovrascrivere i file dell’applicazione o installare app di terze parti senza alcuna autorizzazione da parte dell’utente. Il tutto sfruttando le funzionalità legittime integrate in SHAREit che purtroppo non effettua correttamente un controllo circa la provenienza delle richieste.

Non si tratta di un incidente da poco perché SHAREit è utilizzato da 1,8 miliardi di utente in oltre 200 Paesi. Trend Micro fa sapere di aver privatamente informato gli sviluppatori di SHAREit sul problema ma di non aver ricevuto alcuna risposta, neppure dopo i 3 mesi che vengono abitualmente concessi per risolvere i bug di sicurezza.

Allo stato attuale, quindi, SHAREit – che resta pubblicata sul Play Store di Google – contiene vulnerabilità che non soltanto potrebbero portare all’esecuzione di codice arbitrario ma che espongono ad attacchi man-in-the-disk, come li aveva battezzati Check Point nel 2018. Si tratta di un problema di sicurezza che porta le app a condividere lo stesso spazio a livello di storage per la memorizzazione dei dati con tutto ciò che ne può scaturire (commistione di dati e possibilità per un’altra app di leggere e modificare le informazioni gestite dalle varie applicazioni).

Per maggiori informazioni è possibile fare riferimento all’analisi pubblicata da Trend Micro tenendo presente che le vulnerabilità in SHAREit riguardano esclusivamente la versione per Android. I dispositivi iOS non sono affetti dalle medesime problematiche.

Aggiornamento: Gli sviluppatori di SHAREit hanno dichiarato di aver risolto il problema di sicurezza nella loro applicazione distribuendone la versione aggiornata attraverso il Play Store. Affermano di aver avuto notizia del report di Trend Micro lo scorso 15 febbraio risolvendo poi la vulnerabilità il 19 febbraio. Trend Micro sottolinea invece di aver contattato l’azienda tre mesi prima senza ottenere alcun tipo di risposta.