Android es el sistema operativo más utilizado en todo el mundo. Este sistema operativo, a diferencia del sistema operativo de Apple, iOS, arrastra desde sus inicios un problema de fragmentación por el cual, al no depender las actualizaciones de Google sino de los propios fabricantes, el número de dispositivos que instalan las versiones más recientes del mismo es muy reducido, quedando la mayoría de los usuarios estancados en versiones dos o tres años antiguas, ya obsoletas, y expuestas a posibles vulnerabilidades.
Hace algunas horas, los responsables de seguridad de FireEye han hecho pública una vulnerabilidad sobre Android, concretamente sobre dispositivos que utilizan procesadores Qualcomm, que lleva presente en los mismos desde hace más de 5 años. Esta nueva vulnerabilidad permite a un atacante escalar privilegios en el dispositivo y llegar incluso a leer el historial de llamadas y los SMS enviados y recibidos con el dispositivo sin que el usuario sea consciente de ello.
Esta vulnerabilidad ha sido denominada bajo el código CVE-2016-2060. Este fallo es generado por el demonio netd, una parte nativa del AOSP (Android Open Source Project).
Como hemos dicho, esta vulnerabilidad lleva presente desde hace más de 5 años en cualquier dispositivo que utilice componentes Qualcomm o simplemente alguna parte de código del fabricante. Las versiones que se han podido demostrar que son vulnerables son:
- Lollipop (5.0)
- KitKat (4.4)
- Jellybean MR2 (4.3)
- Ice Cream Sandwich (4.0.3)
Según parece, las versiones 5.1 y la actual 6.0 de Android no están afectadas por esta vulnerabilidad.
Una vulnerabilidad grave para Android, pero complicada de explotar y detectar
Tal como aseguran los expertos de seguridad, para poder explotar esta vulnerabilidad, los atacantes deben tener acceso físico sobre el dispositivo o, al menos, engañar al usuario para que instale manualmente una aplicación maliciosa desarrollada especialmente para aprovecharse de este fallo de seguridad.
Los expertos de seguridad advierten que es muy complicado poder saber que se ha explotado la vulnerabilidad ya que no deja ningún rastro, no repercute en el rendimiento del dispositivo y tampoco se corre el riesgo de bloquearlo o generar algún tipo de error. Además, cualquier aplicación podría hacer uso de la API vulnerable sin llamar la atención de las medidas de seguridad de la Play Store ni de otro tipo de software de seguridad.
No es posible protegerse de ninguna manera de esta vulnerabilidad. Qualcomm es consciente de ella y ya ha desarrollado un parche que ha sido enviado a los fabricantes para evitar aumentar el número de dispositivos vulnerables, sin embargo, los dispositivos ya existentes deberán recibir una actualización de seguridad para solucionarlo y proteger a los usuarios de la vulnerabilidad, algo que, por desgracia, en la mayoría de las ocasiones no llega a verse debido a la fragmentación del sistema operativo y , sobre todo, por la obsolescencia programada de los principales fabricantes de smartphones y tablets.
¿Crees que Android debería afrontar este tipo de vulnerabilidades en su sistema operativo para evitar que se repitan en el futuro o, al menos, solucionar el problema de la fragmentación?
Quizá te interese:
- Acecard, todo sobre el troyano para Android más peligroso jamás visto
