VULNERABILIDAD DE EJECUCIÓN REMOTA DE ANDROID QUE AFECTA A LA FORMA DE LAS IMAGENES

La vulnerabilidad CVE-2016-3862 de ejecución remota de código afecta a la forma imágenes utilizadas por ciertas aplicaciones Android que analizan los datos Exif.

Una imagen aparentemente inofensivo en las redes sociales o aplicación de mensajería podría poner en peligro su dispositivo móvil.

Las actualizaciones de seguridad emitidos por Google en agosto han fijado las vulnerabilidades Quadrooter, que amenazaban a más de 900 millones de dispositivos, y un dia cero crítico podría permitir que los atacantes entregar su hackeo escondido dentro de una imagen.

La falla, codificado como CVE-2016-3862, es una vulnerabilidad de ejecución remota de código en la Mediaserver. Afecta la forma en que las imágenes utilizadas por ciertas aplicaciones Android analizan los datos Exif incluidos en las imágenes.

"Formato de archivo de imagen intercambiable (oficialmente Exif, de acuerdo con las especificaciones JEIDA / JEITA / CIPA) es un estándar que especifica los formatos de imágenes, sonido y etiquetas auxiliares utilizados por las cámaras digitales ( incluyendo teléfonos inteligentes), escáneres y otros sistemas de imagen y sonido de manipulación archivos grabados por las cámaras digitales. "

La falla fue descubierta por primera vez por el investigador de seguridad Tim Strazzere de la firma SentinelOne, quien explicó que podría ser explotada por los hackers para tomar el control completo del dispositivo sin que la víctima se enterase.

"Strazzere dijo que siempre que un atacante puede obtener un usuario abrir el archivo de imagen en una aplicación afectada - como Gchat y Gmail - O bien podría causar un accidente o conseguir" la ejecución remota de código " ergo se podría colocar de manera efectiva el malware en el dispositivo y tomar el control del mismo sin que el usuario lo sepa. "

La víctima no tiene que hacer clic en la imagen maliciosa, ni en un enlace, porque tan pronto como los datos se ha analizado por el dispositivo podria desencadenar la vulnerabilidad CVE-2016-3862.

"El problema se hace aún más grave como un hacker malicioso ni siquiera necesita la víctima hacer nada. "Dado que el error se activa sin la interacción del usuario, una aplicación sólo necesita cargar una imagen de una manera específica para desencadenar el error es tan simple como la recepción de un mensaje o correo electrónico de alguien. Una vez que la aplicación intenta analizar la imagen (que se realiza de forma automática), el accidente se activa ",

Sólo una foto que contiene un genérico puede explotar en silencio piratear millones de dispositivos Android, es una manera similar a los Stagefright exploits que permitían a los atacantes para hackear un teléfono inteligente con sólo un simple mensaje de texto.

"En teoría, alguien podría crear un exploit genérico dentro de una imagen para explota una gran cantidad de dispositivos. Sin embargo, debido a mi nivel de habilidad, he tenido que diseñar específicamente cada uno de los dispositivos. Aunque una vez hecho esto, Gchat, Gmail, la mayoría de los otros mensajeros o aplicaciones de medios sociales probablemente permitir que esto desencadenar ".

Strazzere no reveló los nombres de las otras aplicaciones que también están afectados por la vulnerabilidad CVE-2.016-3.862, también añadió que la lista de software vulnerable incluye herramientas de privacidad "sensible". Cualquier aplicación móvil de la ejecución del código objeto ExifInterface Android Java es probable vulnerable a la vulnerabilidad.

Google Android versión 4.4.4 hasta la 6.0.1 se ven afectados por la vulnerabilidad CVE-2.016 hasta 3.862, por supuesto, los dispositivos que instalan la última actualización.

Google ya ha entregado un parche para corregir la vulnerabilidad, como de costumbre, esto no quiere decir que su móvil ya lo ha aplicado debido a que la administración de parches depende de los fabricantes de terminales y operadores.

Por lo tanto, si usted no está ejecutando una versión actualizada del sistema operativo Android, que probablemente es vulnerable al ataque basado en imágenes.

Google premio a Strazzere con 4000 Dolares como parte de su recompensas de errores y añade otros 4.000 doalres, como el investigador se había comprometido a dar toda la información.

Fecha actualización el 2021-9-7. Fecha publicación el 2016-9-7. Categoría: Android. Autor: Oscar olg Mapa del sitio
android