ในโทรศัพท์ของ Xiaomi และรอม MIUI นั้นจะมีแอพพลิเคชัน Mi Mover ที่ใช้สำหรับย้ายข้อมูลระหว่างเครื่องได้ ซึ่งล่าสุดนักวิจัยพบว่าซอฟต์แวร์ดังกล่าวมีปัญหาความปลอดภัย ที่ทำให้สามารถโคลนข้อมูลออกมาจากเครื่องได้อย่างง่ายดาย
นักวิจัยจาก Escan ได้พบพฤติกรรมแปลกๆ บนมือถือของ Xiaomi ว่าเขาสามารถถอนการติดตั้งแอพ Cerberus Anti-Thief ออกจากเครื่องได้ทันทีโดยไม่จำเป็นต้องยืนยันตัวตนก่อน ซึ่งโดยปกติแล้วการถอนการติดตั้ง Cerberus Anti-Thief จำเป็นต้องยืนยันสิทธิ์แอดมินด้วยการกรอกรหัสผ่านหรือสแกนลายนิ้วมือ แต่มือถือของ Xiaomi นั้นกลับข้ามขั้นตอนทั้งหมดไปได้เลย
จากพฤติกรรมแปลกๆ นี้ทำให้เขาทำการตรวจสอบข้อผิดพลาดในซอฟต์แวร์ของ Xiaomi ต่อ แล้วพบช่องโหว่มากมายดังนี้
- แอพ Mi-Mover ไม่สนใจระบบ Sandbox ของแอนดรอยด์
- สามารถถอนการติดตั้งแอพใดๆ ที่ต้องใช้สิทธิ์แอดมิน (เช่น Cerberus Anti-Thief) ได้ในทันทีโดยไม่ต้องยืนยันตัวตน
- สามารถโคลนข้อมูลจาก Mi-Mover ได้ทันทีโดยไม่จำเป็นต้องรูทเครื่อง
- ระบบจะไม่ยอมลบแอพ Work-Profile Admin แต่จะซ่อนเอาไว้แทน
- โปรไฟล์สำหรับที่ทำงานนั้นไม่ต่างอะไรกับโปรไฟล์ส่วนตัว ซึ่งอาจเป็นช่องโหว่ให้เจาะเข้าถึงข้อมูลจากที่ทำงานได้
ทาง GuidingTech ได้ทดสอบช่องโหว่ดังและยืนยันว่าเป็นความจริง โดยทาง GuidingTech ได้ทดลองใช้แอพ Mi-Mover ในการย้ายข้อมูลจาก Mi Max 2 ไปยัง Redmi 4A และพบว่าเมื่อระบุเครื่องปลายทางแล้ว แอพก็เริ่มทำงานย้ายข้อมูลให้ทันทีโดยไม่ถามหารหัสผ่านแต่อย่างใด
Xiaomi ได้ออกแถลงการณ์ในกรณีนี้ โดยทาง Xiaomi ระบุว่าซอฟต์แวร์ของ Xiaomi ออกแบบมาเพื่อให้ใช้งานได้โดยง่าย และถ้าหากใครสามารถปลดล็อคเครื่องเข้าไปได้แล้ว ก็ไม่ใช่เรื่องยากอะไรที่จะขโมยข้อมูล และทาง Xiaomi ได้แนะนำผู้ใช้ว่าให้ทำการปกป้องข้อมูลของตัวเองด้วยการตั้งรหัสล็อคเครื่องกันเอาเอง
อ้างอิง – Neowin, GuidingTech
