Het nieuwe besturingssysteem van Palm voor smartphones is zo lek als een mandje, zo blijkt uit onderzoek. Onderzoekers van beveiligingsbedrijf Intrepidus Group wisten na slechts een paar uur verschillende HTML injectie-aanvallen via sms-berichten op WebOS uit te voeren. Aanvallers zouden via een sms-bericht automatisch kwaadaardige pagina's kunnen openen, bestanden kunnen downloaden, automatisch een video laten streamen, de gebruiker vragen om een nieuw root CA certificaat te installeren, de radio van de handset uitschakelen en persoonlijke informatie op het apparaat verwijderen.

"We hadden niet verwacht dat Palm vanwege tegenstrijdige belangen het veiligste mobiele platform ooit zou maken. Toch vinden we dat Palm tijdens de ontwikkeling van WebOS helemaal niet aan beveiliging heeft gedacht", zo laat het beveiligingsbedrijf weten. Elk threatmodel had de eenvoudige beveiligingsproblemen die Palm miste al tijdens de ontwikkeling van WebOS moeten vinden.

Waarschuwing
Vanwege een overeenkomst mocht Intrepidus de problemen pas onthullen nadat Palm die in WebOS 1.3.5 had gepatcht. De onderzoekers waarschuwen dat via de marktplaats geïnstalleerde applicaties, of zelfs andere applicaties van Palm, met dit soort of andere veel voorkomende lekken te maken hebben. Een woordvoerster van Palm laat weten dat het bedrijf security zeer belangrijk vindt.