Nokian Intellisyncistä löydettiin useita haavoittuvuuksia

9.5.2007 16:21 Tietoturvatutkija Johannes Greil ilmoitti löytäneensä useita tietoturvahaavoittuvuuksia Nokian Intellisync Mobile Suite -ohjelmistosta.

Nokian Intellisync Mobile Suite on kasa ohjelmistoja, jotka sijaitsevat yhdellä palvelimella ja tarjoavat mobiliteettitoimintoja. Ohjelmistojen avulla voidaan yhdistää lähes mikä tahansa yrityksen tieto mobiililaitteisiin.

Itävaltalaisen Sec-Consultin tietoturvatutkija Johannes Greilin mukaan haavoittuvuuksien avulla hyökkääjä voi saada käsiinsä henkilötietoja, suorittaa sivustojen välisiä hyökkäyksiä, muokata tiettyjä tietoja tai aiheuttaa palveluneston. Hyökkääjän ei myöskään tarvitse kirjautua toimivilla tunnuksilla palveluun haavoittuvuuksien hyödyntämiseksi.

Ongelmat johtuvat Apache Tomcat 5.0.25-version haavoittuvuudesta, joka vuotaa hakemistolistauksia ja ohjelmien lähdekoodia. Lisäksi jotkin asp-sivut /usrmgr/ -hakemiston alaisuudessa listaavat kaikki käyttäjät ja sähköpostipalvelin osoitteen, muttei kuitenkaan näiden salasanojaa.

Greil huomasi myös, että ohjelmistopalvelun kaikki käyttäjät voitiin kytkeä pois käytöstä ja aiheuttaa palvelunesto. Lisäksi jotkin asp-sivut olisvat myös haavoittuvaisia cross site scripting -hyökkäyksille.

Haavoittuvuudet on raportoitu löytyvän ainakin ohjelmiston 6.4.31.2, 6.6.0.107 ja 6.6.2.2 -versioilla. Lisäksi osa haavoittuvuuksista vaikuttaa myös Nokia Intellisync Wireless Email Express -ohjelmistoon.

Tietoturvayhtiö Secunian mukaan myös muitakin versioita voi olla alttiina haavoittuvuuksille. Secunia on luokitellut haavoittuvuudet keskitason kriittisiksi.

Greil ilmoitti maaliskuun puolen välin jälkeen asiasta Nokialle. Pienen sähköpostipallottelun jälkeen yhtiön Itävallan yksikkö totesi, että vika johtuu tuotteissa käytetystä Novellin tuotteesta, ja että asiasta pitäisi ilmoittaa Novellille. Novellilta puolestaan todettiin, että haavoittuvuudet ovat Nokian vastuulla. Tähän pallotteluun kului lähes kuukausi aikaa, eikä Nokia ole informoinut Greiliä kunnolla tekemisistään.

Tietoturvatutkijan tietojen mukaan Nokia on testannut "GMS 2"-versiota, jossa haavoittuvuuksia ei pitäisi olla ja että päivittämistä suositellaan.

Greil suosittaa ongelmien kiertämiseksi rajoittamaan pääsyä /usrmgr/ -polkuun ja käsin päivittämään Tomcat-asennusta, jos mahdollista.

Jutun kirjoitti: Matias Mäki