Recientemente LG parcho dos vulnerabilidades criticas en el teclado predeterminado de todos sus teléfonos inteligentes, incluidos los teléfonos insignia; las vulnerabilidades podrían haber sido usados para ejecutar código de forma remota con privilegios elevados, comentaron profesionales en seguridad informática.
Esta actualización de LG incluye la solución para un problema grave de Android, de Google.
El primer error tiene que ver con que el teclado de LG admite modos de escritura a mano en varios idiomas. En el momento en que se instala un nuevo idioma o una actualización para uno existente, el dispositivo llega a un servidor codificado, desde donde recupera el archivo de idioma solicitado. De acuerdo con el equipo de expertos, que reportó la vulnerabilidad, el problema es que la descarga se realiza a través de una conexión HTTP insegura, exponiéndola a ataques man-in-the-middle. Un atacante remoto podría descargar un archivo malicioso en lugar del archivo de idioma.
En cuanto al segundo problema, los expertos en seguridad informática comentan, que es un error de validación en el sistema de archivos de LG. Los archivos de recursos dentro del entorno limitado del paquete de teclado LG se pueden modificar; y, la aplicación de teclado de LG concede permisos ejecutables para los archivos de biblioteca descargados con la extensión .so. Entonces, un atacante que haya obtenido acceso a MITM a través de la primera vulnerabilidad, puede inyectar un archivo ejecutable no autorizado, y esto solo agregando la extensión .so a una descarga de la biblioteca.
Al alterar el archivo de metadatos files.txt, el archivo Engine.properties se podría sobrescribir por uno falso.
“El teclado carga la biblioteca indicada en el archivo de configuración Engine.properties en el inicio de la aplicación, y la biblioteca rogue inyectada dentro del archivo mencionado se cargaría tan pronto como se reinicie el proceso del teclado”, explicó Slava Makkaveev, investigador de seguridad informática en Check Point. “Una vez que logramos inyectar la lib rouge dentro de Engine.properties, solo se tiene que esperar a que la aplicación se reinicie y cargue la biblioteca”.
LG trata estas vulnerabilidades como un defecto, son exclusivas de los dispositivos LG. La amenaza es notable: los teléfonos tienen una participación de mercado de aproximadamente el 16 por ciento en los EE. UU. LG lanzó un parche para todos estos en su actualización de seguridad de mayo.
Entusiasta de la seguridad cibernética. Especialista en seguridad de la información, actualmente trabajando como especialista en infraestructura de riesgos e investigador.
Experiencia en procesos de riesgo y control, soporte de auditoría de seguridad, diseño y soporte de COB (continuidad del negocio), gestión de grupos de trabajo y estándares de seguridad de la información.
Envía tips de noticias a info@noticiasseguridad.com o www.instagram.com/iicsorg/.
También puedes encontrarnos en Telegram www.t.me/noticiasciberseguridad
