OpenSSLX509Certificate: Vulnerabilidad crítica en Android (sí otra)

Hace unos días se abrió la caja de Pandora y ahora no paran de aparecer fallos de seguridad de Android. Después del descubrimiento de Stagefright y Certifi-Gate que permitían infectar millones de dispositivos Android con sólo un mensaje maliciosos, ahora los investigadores han advertido de otro agujero de seguridad crítico que afecta más del 55 por ciento de todos los usuarios de Android.

Investigadores de seguridad en IBM han descubierto una nueva vulnerabilidad (CVE-2015-3825) [PDF] que permite escalamiento de privilegios en la plataforma Android y que podría permitir a una aplicación maliciosa sin privilegios la capacidad de convertirse en "root" y tomar control del dispositivo.

La vulnerabilidad de serialización afecta de Android 4.3 o superior (incluido Android M) y se encuentra el componente OpenSSLX509Certificate y puede ser explotado para comprometer el proceso de system_server y obtener acceso a nivel de sistema.
En un video, los investigadores mostraron una prueba de concepto y cómo fueron capaces de explotar el defecto y, utilizando una aplicación maliciosa, lograr sustituir la aplicación real de Facebook para robar credenciales.
Una vez que el usuario ejecuta la aplicación sin privilegios, descarga un código para sobrescribir la aplicación existente y ejecuta un exploit para escalar privilegios.

Además de esta vulnerabilidad, los investigadores descubrieron otra serie de errores en el Software Development Kits (SDKs) que permite desarrollar aplicaciones a terceros y que permitirían ejecutar código remoto utilizando dicho SDK.

IBM notificó de las fallas al equipo de seguridad de Google y ya existe un parche. Sin embargo y como siempre, seguramente la mayoría de los usuarios de Android no recibirán el parche debido a su proceso de actualización OTA.

Fuente: The Hackers News