Onderzoekers van IBM hebben een ernstige kwetsbaarheid in miljoenen smartphones van fabrikant Xiaomi ontdekt waardoor een aanvaller die zich tussen de gebruiker en het internet bevindt de smartphone kan overnemen. Een onderdeel van het besturingssysteem dat voor analytics wordt gebruikt controleert regelmatig of er nieuwe updates beschikbaar zijn. Dit gebeurt echter op onveilige wijze.

Een aanvaller die het updateverzoek kan afvangen en manipuleren kan zo een kwaadaardige update aanbieden, die vervolgens door het besturingssysteem wordt geïnstalleerd. Dit is mogelijk doordat de updatetransactie via een http-link plaatsvindt. Daarnaast is er geen cryptografische verificatie van de update. Het analytics-onderdeel zal zich dan ook vervangen door een versie van de aanvaller.

Volgens de onderzoekers gaat het om een terugkerend probleem waarbij fabrikanten een onveilig updateproces implementeren. IBM adviseert dan ook het downloaden van updates via tls-encryptie en het cryptografisch controleren van aangeboden updates voordat die worden uitgevoerd. Xiaomi heeft inmiddels een update (MIUI Global Stable versie 7.2) voor de kwetsbaarheid uitgebracht en gebruikers krijgen het advies die te installeren. De fabrikant leverde vorig jaar meer dan 70 miljoen toestellen en volgens IBM zijn er daarvan miljoenen kwetsbaar.