Vulnerabilidad de XSS y RCE en Google Play

Investigadores han revelado una vulnerabilidad de Cross-Site Scripting en Google Play Store que permite una Remote Code Execution (RCE) y mediante la cual se podría instalar aplicaciones maliciosas en los dispositivos del usuario.

"Debido a una implementación incompleta de X-Frame-Options (XFO) en el dominio de Google Play Store Web, un usuario malintencionado puede aprovechar una vulnerabilidad de Cross-Site Scripting (XSS) en un área particular de la aplicación para instalar una paquete APK de forma remota y ejecutarla" dijo Tod Beardsley, líder técnico para Metasploit Framework.

En enero los investigadores ya habían determinado previamente que varias versiones del sistema operativo Android 4.3 (Jelly Bean) tiene una vulnerabilidad Universal XSS (UXSS) y dijeron que los usuarios que están conectados continuamente a sus cuentas de Google como Gmail o YouTube, corren el mayor riesgo.

"Utilizando un navegador no susceptible a las vulnerabilidades UXSS ampliamente conocidas, como Google Chrome, Mozilla Firefox o el navegador Dolphin, se puede ayudar a mitigar la falla de XFO en el dominio de play.google.com. Se realizar un registro en una cuenta de Google mientras se esté utilizando cualquier navegador es también una mitigación efectiva".

El equipo de Metasploit ha desarrollado un módulo que puede probar los dispositivos para ambas vulnerabilidades.

El módulo de Metasploit combina dos vulnerabilidades para lograr la ejecución remota de código en los dispositivos Android afectados. En primer lugar, el módulo aprovecha la vulnerabilidad Universal Cross-Site Scripting (UXSS) (CVE-2014-6041) presente en las versiones de código abierto Stock Browser de Android (AOSP Browser), así como en algunos otros exploradores, anteriores a 4.4 (KitKat). En segundo lugar, la interfaz web de la tienda de Google Play es incapaz de validar un X-Frame-Options. Consecuentemente, esto lleva a la ejecución remota de código mediante la función de instalación remota de Google Play, como cualquier aplicación disponible en la tienda de Google Play.

Los investigadores ya han notificado Google de las vulnerabilidades.

Fuente: Rapid7

Suscríbete a nuestro Boletín