El especialista en seguridad de aplicaciones Sergey Toshin reveló el hallazgo de una vulnerabilidad crítica que afecta a una gran variedad de dispositivos con sistema operativo Android. Según el reporte, la falla permitiría el uso de apps maliciosas para extraer la información confidencial de las aplicaciones legítimas instaladas en los dispositivos expuestos.
Algunos detalles de la investigación de Toshin fueron publicados en el sitio web especializado TedCrunch.
Identificada como CVE-2020-8913, esta es una vulnerabilidad de ejecución de código arbitrario en las versiones de la biblioteca de Android Play Core anteriores a 1.7.2. Los actores de amenazas podrían crear aplicaciones maliciosas para realizar recorridos de directorio, ejecución de código en aplicaciones legítimas y acceso a los datos de otras áreas del sistema.
De la vulnerabilidad reportada se han detectado dos potenciales escenarios maliciosos:
- Limitación incorrecta de un nombre de ruta a un directorio restringido
- Conservación inadecuada de permisos
Debido a que la falla reside en una biblioteca del sistema operativo, cualquier aplicación legítima que dependa de los componentes comprometidos se vería afectada, mencionó el investigador. En su prueba de concepto, Toshin señala que pudo crear una aplicación capaz de extraer algunos detalles con éxito, incluyendo historial de navegación, cookies de inicio de sesión, contraseñas, entre otros datos.
La falla recibió un puntaje de 8.8 según el Common Vulnerability Scoring System (CVSS), por lo que se le considera como un riesgo de seguridad alto. El experto agrega que algunas apps muy populares podrían haberse visto afectadas sin que nadie pudiera notarlo. Al recibir el reporte, Google reconoció la falla y alistó una corrección. La actualización fue lanzada en marzo de 2020 con el lanzamiento de la versión 1.7.2 de Play Core Library.
El experto menciona que el riesgo de explotación es alto, por lo que se recomienda a los usuarios del sistema operativo instalar todas las actualizaciones emitidas por Play Core. Mayores detalles están disponibles en el sitio oficial de los desarrolladores de Android.
Trabajando como arquitecto de ciberseguridad, el se enfoca en protección de datos y la seguridad de datos empresariales. Antes de unirse a nosotros, ocupó varios puestos de investigador de ciberseguridad con diferentes empresas. También tiene experiencia en diferentes industrias como finanzas, salud medica y reconocimiento facial.