Miles de millones de dispositivos Android son vulnerables a ataques de flujo sucio

Investigadores de Microsoft descubrieron recientemente que muchas aplicaciones de Android, incluidas al menos cuatro con más de 500 millones de instalaciones cada una, son vulnerables a ataques de ejecución remota de código, robo de tokens y otros problemas debido a una falla de seguridad común.

Microsoft notificó al equipo de investigación de seguridad de Android de Google sobre el problema y Google lo publicó. nueva guía para desarrolladores de aplicaciones de Android cómo identificar y solucionar el problema.

Miles de millones de instalaciones corren el riesgo de verse comprometidas

Microsoft también compartió sus hallazgos con los proveedores de aplicaciones de Android afectadas en la Play Store de Google. Estos incluyeron el producto File Manager de Xiaomi Inc. con más de mil millones de instalaciones y WPS Office con alrededor de 500 millones de descargas.

Según Microsoft, los proveedores de ambos productos ya han solucionado el problema. Sin embargo, cree que debido al mismo fallo de seguridad, hay aún más aplicaciones que pueden ser fácilmente explotadas y comprometidas. «Creemos que el patrón de vulnerabilidad también podría encontrarse en otras aplicaciones», dijo el equipo de inteligencia de amenazas de Microsoft. en una publicación de blog esta semana. «Compartimos esta investigación para que los desarrolladores y editores puedan comprobar sus aplicaciones en busca de problemas similares, solucionarlos si es necesario y evitar que se introduzcan». tales vulnerabilidades integrarse en nuevas aplicaciones o lanzamientos”.

El problema descubierto por Microsoft preocupa aplicaciones de Android compartir los archivos con otras aplicaciones. Para facilitar el intercambio de manera segura, Android está implementando una característica llamada «proveedor de contenido», que esencialmente actúa como una interfaz para administrar y exponer los datos de una aplicación a otras aplicaciones instaladas en un dispositivo, dijo Microsoft. Una aplicación que necesita compartir sus archivos (o un proveedor de archivos en el lenguaje de Android) declara las rutas específicas que otras aplicaciones pueden usar para acceder a los datos. Los proveedores de archivos también tienen un identificador que otras aplicaciones pueden usar como dirección para encontrarlos en un sistema.

Confianza ciega y falta de validación de contenido

«Este modelo basado en proveedor de contenido proporciona un mecanismo de intercambio de archivos bien definido que permite que una aplicación de servicio comparta sus archivos con otras aplicaciones de forma segura y con un control detallado», dijo Microsoft. Sin embargo, en muchos casos, cuando una aplicación de Android recibe un archivo de otra aplicación, no valida el contenido. «Lo más preocupante es que el nombre de archivo proporcionado por la aplicación proveedora se utiliza para almacenar en caché el archivo recibido en el directorio de datos interno de la aplicación consumidora».

Esto brinda a los atacantes la oportunidad de crear una aplicación fraudulenta que puede enviar un archivo con un nombre malicioso directamente a una aplicación receptora (o destino para compartir archivos) sin el conocimiento o consentimiento del usuario, dijo Microsoft. Los destinos típicos para compartir archivos incluyen clientes de correo electrónico, aplicaciones de mensajería, aplicaciones de red, navegadores y editores de archivos. Cuando un objetivo compartido recibe un nombre de archivo malicioso, utiliza el nombre del archivo para inicializar el archivo y desencadenar un proceso que podría resultar en que la aplicación se vea comprometida, dijo Microsoft.

El impacto potencial varía según las especificaciones de implementación de una aplicación de Android. En algunos casos, un atacante podría utilizar una aplicación maliciosa para anular la configuración de una aplicación receptora y obligarla a comunicarse con un servidor controlado por el atacante o forzarla a compartir la configuración. Token de autenticación del usuario y otros datos. En otras situaciones, una aplicación maliciosa podría sobrescribir código malicioso en la biblioteca nativa de una aplicación receptora para permitir la ejecución de código arbitrario. «Debido a que la aplicación maliciosa controla tanto el nombre como el contenido del archivo y confía ciegamente en esta entrada, un objetivo compartido puede sobrescribir archivos críticos en su área de datos privados, lo que puede tener graves consecuencias», dijo Microsoft.

Tanto Microsoft como Google han dado consejos a los desarrolladores sobre cómo evitar el problema. Los usuarios finales pueden mitigar el riesgo asegurándose de que sus aplicaciones de Android estén actualizadas e instalando únicamente aplicaciones de fuentes confiables.